Zoom, la plate-forme de vidéoconférence populaire, a récemment été confrontée à une menace de sécurité importante qui aurait pu exposer les utilisateurs à des violations de données et à des accès non autorisés. Les chercheurs en cybersécurité d’AppOmni ont découvert une vulnérabilité dans Zoom Rooms, une fonctionnalité conçue pour faciliter la collaboration entre les membres d’une équipe dans différents emplacements physiques.
La faille, identifiée en juin 2023, concernait la façon dont Zoom Rooms créait des comptes de service pour les réunions et les tableaux blancs. Lorsqu’une Zoom Room est lancée, la plateforme génère automatiquement un compte de service associé à l’e-mail de l’utilisateur.
Le problème est survenu parce que Zoom suit un modèle prévisible dans l’attribution d’adresses e-mail à ces comptes de service, généralement au format rooms_
Les chercheurs ont exploité la prévisibilité de l’adresse e-mail attribuée
En exploitant ce modèle, les chercheurs ont pu créer une boîte de réception valide pour une salle Zoom. Ils se sont inscrits à Zoom et ont reçu un lien d’activation dans la boîte de réception. Lors de l’activation, Zoom a connecté par inadvertance les chercheurs au locataire Zoom de la victime en tant que compte de service. Cela a accordé aux chercheurs le statut de membre de l’équipe, permettant un mouvement latéral à travers le locataire.
Comme Zoom Rooms démarre généralement avec deux licences, l’exploit a fourni aux chercheurs une visibilité sur tous les utilisateurs d’une organisation. Ils pourraient potentiellement détourner les réunions en tant qu’hôtes, accéder à tous les tableaux blancs et collecter des informations sensibles, posant ainsi un risque de sécurité grave.
La seule condition nécessaire à l’exécution de cette attaque était la connaissance de l’adresse e-mail de la victime. Compte tenu de la prévalence des violations de courrier électronique, ces informations sont relativement accessibles. De plus, TechRadar rapporte que des initiés malveillants au sein de la même Zoom Room pourraient également exploiter la vulnérabilité, soulevant des inquiétudes quant au potentiel d’accès non autorisé et de vol de données.
Zoom a agi rapidement pour résoudre la menace de sécurité
AppOmni a rapidement signalé ses conclusions à Zoom, ce qui a conduit la société de vidéoconférence à prendre des mesures immédiates. En réponse, Zoom a rapidement publié un correctif, éliminant la possibilité de créer des comptes Zoom Room.
En résumé, les efforts collaboratifs des chercheurs en cybersécurité et la réponse rapide de Zoom ont permis d’éviter une menace potentielle pour la sécurité.
