Buletin Keamanan
Buletin Keamanan
Zoom tidak menyediakan panduan tentang dampak kerentanan terhadap pelanggan perorangan dikarenakan Buletin Keamanan Zoom atau menyediakan detail tambahan tentang kerentanan. Kami menganjurkan pengguna untuk memperbarui perangkat lunak Zoom ke versi terbaru agar mendapatkan perbaikan terbaru dan peningkatan keamanan.
ZSB | Tanggal | Judul | Keparahan | CVE (jika berlaku) | |
---|---|---|---|---|---|
|
ZSB-23024 | 07/11/2023 | Kontrol Akses yang Tidak Tepat | Tinggi | CVE-2023-36538 |
Keparahan: High Skor CVSS: 8.4 String Vektor CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:N/I:H/A:H
Deskripsi: Kontrol akses yang tidak tepat pada Zoom Rooms untuk Windows sebelum versi 5.15.0 dapat memungkinkan pengguna yang diautentikasi untuk mengaktifkan eskalasi hak istimewa melalui akses lokal. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh sim0nsecurity. |
|||||
|
ZSB-23023 | 07/11/2023 | Manajeman Hak Tidak Tepat | Tinggi | CVE-2023-36537 |
Keparahan: High Skor CVSS: 7.3 String Vektor CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:N/I:H/A:L
Deskripsi: Manajemen hak istimewa yang tidak tepat pada Zoom Rooms untuk Windows sebelum versi 5.14.5 dapat memungkinkan pengguna yang diautentikasi untuk mengaktifkan peningkatan hak istimewa melalui akses lokal. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh sim0nsecurity. |
|||||
|
ZSB-23022 | 07/11/2023 | Jalur Pencarian Tidak Tepercaya | Tinggi | CVE-2023-36536 |
Keparahan: High Skor CVSS: 8.2 String Vektor CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H
Deskripsi: Jalur pencarian yang tidak tepercaya pada penginstal Zoom Rooms untuk Windows sebelum versi 5.15.0 memungkinkan pengguna yang diautentikasi untuk mengaktifkan eskalasi hak istimewa melalui akses lokal. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh sim0nsecurity. |
|||||
|
ZSB-23021 | 07/11/2023 | File Sementara Tidak Aman | Tinggi | CVE-2023-34119 |
Keparahan: High Skor CVSS: 8.2 String Vektor CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H
Deskripsi: File sementara yang tidak aman pada penginstal Zoom Rooms untuk Windows sebelum versi 5.15.0 memungkinkan pengguna yang diautentikasi untuk mengaktifkan eskalasi hak istimewa melalui akses lokal. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh sim0nsecurity. |
|||||
|
ZSB-23020 | 07/11/2023 | Manajeman Hak Tidak Tepat | Tinggi | CVE-2023-34118 |
Keparahan: High Skor CVSS: 7.3 String Vektor CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:N/I:H/A:L
Deskripsi: Manajemen hak istimewa yang tidak tepat pada Zoom Rooms untuk Windows sebelum versi 5.14.5 dapat memungkinkan pengguna yang diautentikasi untuk mengaktifkan peningkatan hak istimewa melalui akses lokal. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh sim0nsecurity. |
|||||
|
ZSB-23019 | 07/11/2023 | Traversal Jalur Relatif | Rendah | CVE-2023-34117 |
Keparahan: Low Skor CVSS: 3.3 String Vektor CVSS: CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N
Deskripsi: Traversal jalur relatif pada SDK Klien Zoom sebelum versi 5.15.0 memungkinkan pengguna yang tidak sah untuk mengaktifkan pengungkapan informasi melalui akses lokal. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh Dimitrios Valsamaras dari Microsoft. |
|||||
|
ZSB-23018 | 07/11/2023 | Validasi Masukan Tidak Tepat | Tinggi | CVE-2023-34116 |
Keparahan: High Skor CVSS: 8.2 String Vektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:N/I:L/A:H
Deskripsi: Validasi input yang tidak tepat pada Klien Desktop Zoom untuk Windows sebelum versi 5.15.0 dapat memungkinkan pengguna yang tidak sah untuk mengaktifkan eskalasi hak istimewa melalui akses jaringan. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh sim0nsecurity. |
|||||
|
ZSB-23025 | 06/29/2023 | Paparan Informasi Sensitif | Sedang | CVE-2023-36539 |
Keparahan: Sedang Skor CVSS: 5.3 String Vektor CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:N
Deskripsi: Paparan informasi yang dimaksudkan untuk dienkripsi oleh beberapa klien Zoom dapat menyebabkan pengungkapan informasi sensitif. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh Tim Keamanan Ofensif Zoom. |
|||||
|
ZSB-23017 | 06/13/2023 | Penyalinan buffer tanpa Memeriksa Ukuran Masukan | Sedang | CVE-2023-34115 |
Keparahan: Sedang Skor CVSS: 4,0 String Vektor CVSS: CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
Deskripsi: Penyalinan buffer tanpa memeriksa ukuran masukan di Zoom Meeting SDK sebelum versi 5.13.0 memungkinkan pengguna yang sah mengaktifkan penolakan layanan melalui akses lokal. Masalah ini dapat menimbulkan crash pada Zoom Meeting SDK dan harus dimulai ulang. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh Eugene Lim |
|||||
|
ZSB-23016 | 06/13/2023 | Paparan Sumber Daya terhadap Ranah yang Salah | Sedang | CVE-2023-34114 |
Keparahan: Sedang Skor CVSS: 4.3 String Vektor CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:N/A:N
Deskripsi: Paparan sumber daya terhadap ranah yang salah di klien Zoom for Windows dan Zoom for macOS sebelum versi 5.14.10 memungkinkan pengguna yang sah mengaktifkan pengungkapan informasi melalui akses jaringan. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh Siddhi Katariya (chikorita) |
|||||
|
ZSB-23015 | 06/13/2023 | Verifikasi Keabsahan Data Tidak Memadai | Tinggi | CVE-2023-34113 |
Keparahan: Tinggi Skor CVSS: 8 String Vektor CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H
Deskripsi: Verifikasi keabsahan data yang tidak memadai di klien Zoom for Windows sebelum versi 5.14.0 memungkinkan pengguna yang sah mengaktifkan eskalasi hak melalui akses jaringan. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh sim0nsecurity |
|||||
|
ZSB-23014 | 06/13/2023 | Validasi Masukan Tidak Tepat | Tinggi | CVE-2023-34122 |
Keparahan: Tinggi Skor CVSS: 7.3 String Vektor CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:N/I:H/A:L
Deskripsi: Validasi masukan yang tidak tepat di penginstal untuk klien Zoom for Windows sebelum versi 5.14.0 memungkinkan pengguna yang sah mengaktifkan eskalasi hak melalui akses lokal. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh sim0nsecurity |
|||||
|
ZSB-23013 | 06/13/2023 | Validasi Masukan Tidak Tepat | Sedang | CVE-2023-34121 |
Keparahan: Sedang Skor CVSS: 4.9 String Vektor CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:N/A:N
Deskripsi: Validasi masukan yang tidak tepat di klien Zoom for Windows, Zoom Rooms, Zoom VDI Windows Meeting sebelum versi 5.14.0 memungkinkan pengguna yang sah mengaktifkan eskalasi hak melalui akses jaringan. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh Mohit Rawat - ASPIA InfoTech |
|||||
|
ZSB-23012 | 06/13/2023 | Manajeman Hak Tidak Tepat | Tinggi | CVE-2023-34120 |
Keparahan: Tinggi Skor CVSS: 8.7 String Vektor CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:L
Deskripsi: Manajemen hak yang tidak tepat di klien Zoom for Windows, Zoom Rooms for Windows, dan Zoom VDI for Windows sebelum versi 5.14.0 memungkinkan pengguna yang sah mengaktifkan eskalasi hak melalui akses lokal. Pengguna dapat menggunakan hak sistem tingkat lebih tinggi yang dipertahankan oleh klien Zoom untuk memicu proses dengan hak yang dieskalasi. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh sim0nsecurity |
|||||
|
ZSB-23011 | 06/13/2023 | Kontrol Akses Tidak Tepat di Penginstal Klien Zoom VDI | Tinggi | CVE-2023-28603 |
Keparahan: Tinggi Skor CVSS: 7.7 String Vektor CVSS: CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:L
Deskripsi: Penginstal klien Zoom VDI sebelum versi 5.14.0 berisi kerentanan kontrol akses yang tidak tepat. Pengguna jahat berpotensi menghapus file lokal tanpa izin yang tepat. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh sim0nsecurity |
|||||
|
ZSB-23010 | 06/13/2023 | Verifikasi Tanda Tangan Kriptografi yang Tidak Tepat di Klien Zoom | Rendah | CVE-2023-28602 |
Keparahan: Rendah Skor CVSS: 2.8 String Vektor CVSS: CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:C/C:N/I:L/A:N
Deskripsi: Klien Zoom for Windows sebelum versi 5.13.0 berisi kerentanan verifikasi tanda tangan kriptografi yang tidak tepat. Pengguna jahat berpotensi menurunkan komponen Klien Zoom ke versi sebelumnya. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh Kirin (Pwnrin) |
|||||
|
ZSB-23009 | 06/13/2023 | Pembatasan Operasi yang Tidak Tepat dalam Batas Buffer Memori di Klien Zoom | Rendah | CVE-2023-28601 |
Keparahan: Rendah Skor CVSS: 2 String Vektor CVSS: CVSS:3.1/AV:A/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H
Deskripsi: Klien Zoom for Windows sebelum versi 5.14.0 berisi kerentanan pembatasan operasi yang tidak tepat dalam batas buffer memori. Pengguna jahat dapat mengubah buffer memori Klien Zoom yang terlindungi yang berpotensi menimbulkan masalah integritas dalam Klien Zoom. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh sim0nsecurity |
|||||
|
ZSB-23008 | 06/13/2023 | Kontrol akses yang tidak tepat di Klien Zoom | Sedang | CVE-2023-28600 |
Keparahan: Sedang Skor CVSS: 6.6 String Vektor CVSS: CVSS:3.1/AV:L/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:L
Deskripsi: Klien Zoom for macOS sebelum versi 5.14.0 berisi kerentanan kontrol akses yang tidak tepat. Pengguna jahat mungkin dapat menghapus/mengganti file Klien Zoom yang berpotensi menyebabkan hilangnya integritas dan ketersediaan Klien Zoom. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh Koh M. Nakagawa (@tsunek0h) |
|||||
|
ZSB-23007 | 06/13/2023 | Kerentanan Injeksi HTML di Klien Zoom | Sedang | CVE-2023-28599 |
Keparahan: Sedang Skor CVSS: 4.2 String Vektor CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:L/A:N
Deskripsi: Klien Zoom sebelum versi 5.13.10 berisi kerentanan injeksi HTML. Pengguna jahat dapat memasukkan HTML ke nama tampilannya yang berpotensi mengarahkan korban ke situs web berbahaya selama pembuatan rapat. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh Mohit Rawat - ASPIA InfoTech |
|||||
|
ZSB-23006 | 06/13/2023 | Injeksi HTML di Klien Zoom Linux | Tinggi | CVE-2023-28598 |
Keparahan: Tinggi Skor CVSS: 7.5 String Vektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Deskripsi: Klien Zoom for Linux sebelum versi 5.13.10 berisi kerentanan injeksi HTML. Jika korban memulai obrolan dengan pengguna jahat, aplikasi Zoom bisa saja mengalami crash. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh Antoine Roly (aroly) |
|||||
|
ZSB-23005 | 03/14/2023 | Implementasi batas kepercayaan yang tidak tepat untuk UKM di Klien Zoom [Updated 2023-04-07] | Tinggi | CVE-2023-28597 |
Keparahan: Tinggi Skor CVSS: 8.3 String Vektor CVSS: CVSS:3.1/AV:A/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H
Deskripsi: Klien Zoom sebelum versi 5.13.5 berisi kerentanan implementasi batas kepercayaan yang tidak tepat. Jika korban menyimpan rekaman lokal ke lokasi UKM dan kemudian membukanya menggunakan tautan dari portal web Zoom, penyerang yang berada di jaringan yang berdekatan dengan klien korban dapat mengatur server UKM jahat untuk menanggapi permintaan klien, yang menyebabkan klien mengeksekusi file executable yang dikontrol penyerang. Hal ini dapat mengakibatkan penyerang mendapatkan akses ke perangkat dan data pengguna, serta eksekusi kode jarak jauh. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh Tim Keamanan Ofensif Zoom |
|||||
|
ZSB-23004 | 03/14/2023 | Eskalasi Hak Istimewa Lokal di Penginstal Zoom for macOS | Sedang | CVE-2023-28596 |
Keparahan: Sedang Skor CVSS: 5.2 String Vektor CVSS: CVSS:3.1/AV:L/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:L
Deskripsi: Pengistal Klien Zoom untuk Admin TI macOS sebelum versi 5.13.5 berisi kerentanan eskalasi hak istimewa lokal. Pengguna lokal dengan hak istimewa rendah dapat mengeksploitasi kerentanan ini dalam rantai serangan selama proses penginstalan untuk mengeskalasi hak istimewa mereka ke root. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh Koh M. Nakagawa (tsunekoh) |
|||||
|
ZSB-23003 | 03/14/2023 | Eskalasi Hak Istimewa Lokal di Penginstal Zoom for Windows | Tinggi | CVE-2023-22883 |
Keparahan: Tinggi Skor CVSS: 7.2 String Vektor CVSS: CVSS:3.1/AV:L/AC:H/PR:L/UI:R/S:C/C:N/I:H/A:H
Deskripsi: Pengistal Klien Zoom untuk Admin TI Windows sebelum versi 5.13.5 berisi kerentanan eskalasi hak istimewa lokal. Pengguna lokal dengan hak istimewa rendah dapat mengeksploitasi kerentanan ini dalam rantai serangan selama proses penginstalan untuk mengeskalasi hak istimewa mereka ke pengguna SISTEM. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh sim0nsecurity |
|||||
|
ZSB-23002 | 03/14/2023 | Penolakan Layanan di Klien Zoom | Sedang |
CVE-2023-22881 CVE-2023-22882 |
Keparahan: Sedang Skor CVSS: 6.5 String Vektor CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
Deskripsi: Klien Zoom sebelum versi 5.13.5 berisi kerentanan penguraian STUN. Pelaku ancaman dapat mengirim lalu lintas UDP yang dibuat khusus kepada klien Zoom korban untuk meyebabkan klien crash dari jarak jauh, menyebabkan penolakan layanan. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh Tim Keamanan Ofensif Zoom |
|||||
|
ZSB-23001 | 03/14/2023 | Pengungkapan Informasi di Klien Zoom for Windows | Sedang | CVE-2023-22880 |
Keparahan: Sedang Skor CVSS: 6.8 String Vektor CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:N/A:N
Deskripsi: Klien Zoom for Windows sebelum versi 5.13.3, klien Zoom Rooms untuk Windows sebelum versi 5.13.5, dan klien Zoom VDI untuk Windows sebelum versi 5.13.1 berisi kerentanan pengungkapan informasi. Pembaruan terbaru untuk runtime Microsoft Edge WebView2 yang digunakan oleh klien Zoom yang terpengaruh, mengirimkan teks ke layanan Pemeriksaan Ejaan online Microsoft, bukan Pemeriksaan Ejaan Windows lokal. Memperbarui Zoom akan mengatasi kerentanan ini dengan menonaktifkan fitur tersebut. Memperbarui Runtime Microsoft Edge WebView2 setidaknya ke versi 109.0.1481.0 dan memulai ulang Zoom akan mengatasi kerentanan ini dengan memperbarui perilaku telemetri Microsoft. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh Tim Keamanan Zoom |
|||||
|
ZSB-22035 | 01/06/2023 | Eskalasi Hak Istimewa Lokal di Penginstal Zoom Rooms untuk Windows | Tinggi | CVE-2022-36930 |
Keparahan: Tinggi Skor CVSS: 8.2 String Vektor CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H
Deskripsi: Penginstal Zoom Rooms untuk Windows sebelum versi 5.13.0 berisi kerentanan eskalasi hak istimewa lokal. Pengguna lokal dengan hak istimewa rendah dapat mengeksploitasi kerentanan ini dalam rantai serangan untuk mengeskalasikan hak istimewa mereka ke pengguna SISTEM. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh sim0nsecurity |
|||||
|
ZSB-22034 | 01/06/2023 | Eskalasi Hak Istimewa Lokal di Klien Zoom Rooms untuk Windows | Tinggi | CVE-2022-36929 |
Keparahan: Tinggi Skor CVSS: 7.8 String Vektor CVSS: CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H
Deskripsi: Klien Zoom Rooms untuk Windows sebelum versi 5.12.7 berisi kerentanan eskalasi hak istimewa lokal. Pengguna lokal dengan hak istimewa rendah dapat mengeksploitasi kerentanan ini dalam rantai serangan untuk mengeskalasikan hak istimewa mereka ke pengguna SISTEM. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh sim0nsecurity |
|||||
|
ZSB-22033 | 01/06/2023 | Path Traversal di Klien Zoom for Android | Sedang | CVE-2022-36928 |
Keparahan: Sedang Skor CVSS: 6.1 String Vektor CVSS: CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:L/A:N
Deskripsi: Klien Zoom for Android sebelum versi 5.13.0 berisi kerentanan path traversal. Aplikasi pihak ketiga dapat mengeksploitasi kerentanan ini untuk membaca dan menulis ke direktori data aplikasi Zoom. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh Dimitrios Valsamaras dari Microsoft |
|||||
|
ZSB-22032 | 01/06/2023 | Eskalasi Hak Istimewa Lokal di Klien Zoom Rooms untuk macOS | Tinggi |
CVE-2022-36926 CVE-2022-36927 |
Keparahan: Tinggi Skor CVSS: 8.8 String Vektor CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Deskripsi: Klien Zoom Rooms untuk macOS sebelum versi 5.11.3 berisi kerentanan eskalasi hak istimewa lokal. Pengguna lokal dengan hak istimewa rendah dapat mengeksploitasi kerentanan ini guna meningkatkan hak istimewa mereka ke root. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh Kirin (Pwnrin) |
|||||
|
ZSB-22031 | 01/06/2023 | Pembuatan kunci yang tidak aman untuk klien Zoom Rooms untuk macOS | Sedang | CVE-2022-36925 |
Keparahan: Sedang Skor CVSS: 4.4 String Vektor CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L
Deskripsi: Klien Zoom Rooms untuk macOS sebelum versi 5.11.4 berisi mekanisme pembuatan kunci yang tidak aman. Kunci enkripsi yang digunakan untuk IPC antara layanan daemon Zoom Rooms dan Peralatan Zoom Rooms dibuat menggunakan parameter yang bisa didapatkan oleh aplikasi lokal dengan hak istimewa rendah. Kunci tersebut kemudian dapat digunakan untuk berinteraksi dengan layanan daemon untuk mengeksekusi fungsi hak istimewa dan menyebabkan penolakan layanan lokal. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh Kirin (Pwnrin) |
|||||
|
ZSB-22030 | 11/15/2022 | Eskalasi Hak Istimewa Lokal di penginstal Zoom Rooms untuk Windows | Tinggi | CVE-2022-36924 |
Keparahan: Tinggi Skor CVSS: 8.8 String Vektor CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Deskripsi: Penginstal Zoom Rooms untuk Windows sebelum versi 5.12.6 berisi kerentanan eskalasi hak lokal. Pengguna lokal dengan hak istimewa rendah dapat mengeksploitasi kerentanan ini selama proses penginstalan guna meningkatkan hak istimewa mereka ke pengguna SISTEM. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh sim0nsecurity |
|||||
|
ZSB-22029 | 11/15/2022 | Eskalasi Hak Istimewa Lokal di Penginstal Klien Zoom untuk macOS | Tinggi | CVE-2022-28768 |
Keparahan: Tinggi Skor CVSS: 8.8 String Vektor CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Deskripsi: Penginstal Zoom Client for Meetings untuk macOS (Standar dan untuk Admin TI) sebelum versi 5.12.6 berisi kerentanan eskalasi hak istimewa lokal. Pengguna lokal dengan hak istimewa rendah dapat mengeksploitasi kerentanan ini selama proses penginstalan guna meningkatkan hak istimewa mereka ke root. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh Koh M. Nakagawa (tsunekoh) |
|||||
|
ZSB-22027 | 11/15/2022 | Injeksi DLL di Zoom Windows Client | Tinggi | CVE-2022-28766 |
Keparahan: Tinggi Skor CVSS: 8.1 String Vektor CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:L
Deskripsi: Zoom Client for Meetings sebelum 5.12.6 dan Zoom Rooms untuk Ruang Konferensi sebelum 5.12.6 versi Windows 32-bit rentan terhadap kerentanan injeksi DLL. Pengguna lokal dengan hak istimewa rendah dapat mengeksploitasi kerentanan ini guna menjalankan kode arbitrer dalam konteks klien Zoom. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh sim0nsecurity |
|||||
|
ZSB-22025 | 11/10/2022 | Paparan informasi lokal di Zoom Client | Rendah | CVE-2022-28764 |
Keparahan: Rendah Skor CVSS: 3.3 String Vektor CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
Deskripsi: Zoom Client for Meetings (untuk Android, iOS, Linux, macOS, dan Windows) sebelum versi 5.12.6 rentan terhadap kerentanan paparan informasi lokal. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh Christian Zäske dari SySS GmbH |
|||||
|
ZSB-22024 | 10/24/2022 | Penguraian URL yang tidak tepat di Zoom Client | Tinggi | CVE-2022-28763 |
Keparahan: Tinggi Skor CVSS: 8.8 String Vektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Deskripsi: Zoom Client for Meetings (untuk Android, iOS, Linux, macOS, dan Windows) sebelum versi 5.12.2 rentan terhadap kerentanan penguraian URL. Jika URL rapat Zoom yang berbahaya dibuka, tautan berbahaya tersebut dapat mengarahkan pengguna untuk terhubung ke alamat jaringan arbitrer, yang menimbulkan serangan tambahan termasuk pengambilalihan sesi. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh Tim Keamanan Zoom |
|||||
|
ZSB-22023 | 10/11/2022 | Kesalahan konfigurasi port debugging di Zoom Apps di Zoom Client for Meetings untuk macOS | Tinggi | CVE-2022-28762 |
Keparahan: Tinggi Skor CVSS: 7.3 String Vektor CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:L
Deskripsi: Zoom Client for Meetings untuk macOS (Standar dan untuk Admin TI) dimulai dari versi 5.10.6 dan sebelum versi 5.12.0 berisi kesalahan konfigurasi port debugging. Saat konteks rendering mode kamera diaktifkan sebagai bagian dari API Lapisan Aplikasi Zoom dengan menjalankan Zoom Apps tertentu, port debugging lokal dibuka oleh klien Zoom. Pengguna jahat lokal dapat menggunakan port debugging ini untuk terhubung dan mengontrol Zoom Apps yang berjalan di klien Zoom. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh Tim Keamanan Zoom |
|||||
|
ZSB-22022 | 10/11/2022 | Penyebaran Zoom Lokal: Kontrol Akses yang Tidak Tepat | Sedang | CVE-2022-28761 |
Keparahan: Sedang Skor CVSS: 6.5 String Vektor CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
Deskripsi: MMR Konektor Rapat Zoom Lokal sebelum versi 4.8.20220815.130 berisi kerentanan kontrol akses yang tidak tepat. Akibatnya, pelaku ancaman dalam rapat atau webinar yang diizinkan untuk mereka ikuti dapat mencegah peserta menerima audio dan video yang menyebabkan gangguan rapat. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh Tim Keamanan Ofensif Zoom |
|||||
|
ZSB-22021 | 09/13/2022 | Penyebaran Zoom Lokal: Kontrol Akses yang Tidak Tepat | Sedang | CVE-2022-28760 |
Keparahan: Sedang Skor CVSS: 6.5 String Vektor CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
Deskripsi: MMR Konektor Rapat Zoom Lokal sebelum versi 4.8.20220815.130 berisi kerentanan kontrol akses yang tidak tepat. Akibatnya, pelaku ancaman dapat bergabung ke rapat yang diizinkan untuk mereka ikuti tanpa muncul di hadapan peserta lain. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh Tim Keamanan Ofensif Zoom |
|||||
|
ZSB-22020 | 09/13/2022 | Penyebaran Zoom Lokal: Kontrol Akses yang Tidak Tepat | Tinggi |
CVE-2022-28758 CVE-2022-28759 |
Keparahan: Tinggi Skor CVSS: 8.2 String Vektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
Deskripsi: MMR Konektor Rapat Zoom Lokal sebelum versi 4.8.20220815.130 berisi kerentanan kontrol akses yang tidak tepat. Akibatnya, pelaku ancaman dapat memperoleh umpan audio dan video rapat yang tidak diizinkan untuk mereka ikuti dan menyebabkan gangguan rapat lainnya. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh Tim Keamanan Zoom |
|||||
|
ZSB-22019 | 08/17/2022 | Eskalasi Hak Istimewa Lokal di Pembaru Otomatis untuk Zoom Client for Meetings untuk macOS | Tinggi | CVE-2022-28757 |
Keparahan: Tinggi Skor CVSS: 8.8 String Vektor CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Deskripsi: Zoom Client for Meetings untuk macOS (Standar dan untuk Admin TI) mulai dari versi 5.7.3 dan sebelum versi 5.11.6 berisi kerentanan pada proses pembaruan otomatis. Pengguna lokal dengan hak istimewa rendah dapat mengeksploitasi kerentanan ini guna meningkatkan hak istimewa mereka ke root. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh Csaba Fitzi (theevilbit) dari Offensive Security |
|||||
|
ZSB-22018 | 08/13/2022 | Eskalasi Hak Istimewa Lokal di Pembaru Otomatis untuk produk Zoom macOS [Updated 2022-09-13] | Tinggi | CVE-2022-28756 |
Keparahan: Tinggi Skor CVSS: 8.8 String Vektor CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Deskripsi: Zoom Client for Meetings untuk macOS (Standar dan untuk Admin TI) mulai dari versi 5.7.3 dan sebelum versi 5.11.5 dan Zoom Rooms untuk Ruang Konferensi untuk macOS sebelum versi 5.11.6 berisi kerentanan pada proses pembaruan otomatis. Pengguna lokal dengan hak istimewa rendah dapat mengeksploitasi kerentanan ini guna meningkatkan hak istimewa mereka ke root. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh Patrick Wardle dari Objective-See |
|||||
|
ZSB-22017 | 08/09/2022 | Eskalasi Hak Istimewa Lokal di Zoom Client for Meetings untuk macOS | Tinggi | CVE-2022-28751 |
Keparahan: Tinggi Skor CVSS: 8.8 String Vektor CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Deskripsi: Zoom Client for Meetings untuk macOS (Standar dan untuk admin TI) sebelum versi 5.11.3 berisi kerentanan pada validasi tanda tangan paket selama proses pembaruan. Pengguna lokal dengan hak istimewa rendah dapat mengeksploitasi kerentanan ini guna meningkatkan hak istimewa mereka ke root. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh Patrick Wardle dari Objective-See |
|||||
|
ZSB-22014 | 08/09/2022 | Penyebaran Zoom Lokal: Kontrol Akses yang Tidak Tepat | Tinggi |
CVE-2022-28753 CVE-2022-28754 |
Keparahan: Tinggi Skor CVSS: 7.1 String Vektor CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:N
Deskripsi: MMR Konektor Rapat Zoom Lokal sebelum versi 4.8.20220815.130 berisi kerentanan kontrol akses yang tidak tepat. Akibatnya, pelaku ancaman dapat bergabung ke rapat yang diizinkan untuk mereka ikuti tanpa muncul di hadapan peserta lain, dapat masuk ke dalam rapat dari ruang tunggu, dan dapat menjadi host serta menyebabkan gangguan rapat lainnya. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh Tim Keamanan Ofensif Zoom |
|||||
|
ZSB-22016 | 08/09/2022 | Penguraian URL yang tidak tepat di Zoom Client [Updated 2022-10-24] | Kritis | CVE-2022-28755 |
Keparahan: Kritis Skor CVSS: 9.6 String Vektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
Deskripsi: Zoom Client for Meetings (untuk Android, iOS, Linux, macOS, dan Windows) sebelum versi 5.11.0 rentan terhadap kerentanan penguraian URL. Jika URL rapat Zoom yang berbahaya dibuka, tautan berbahaya tersebut dapat mengarahkan pengguna untuk terhubung ke alamat jaringan arbitrer, yang mengarah ke serangan tambahan termasuk potensi eksekusi kode jarak jauh melalui peluncuran file yang dapat dijalankan dari jalur arbitrer. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh sim0nsecurity |
|||||
|
ZSB-22012 | 08/09/2022 | Penyebaran Zoom Lokal: Luapan Penyangga Tumpukan di Konektor Rapat | Tinggi | CVE-2022-28750 |
Keparahan: Tinggi Skor CVSS: 7.5 String Vektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Deskripsi: Pengontrol Zona (ZC) Konektor Rapat Lokal Zoom sebelum versi 4.8.20220419.112 gagal mengurai kode kesalahan STUN dengan benar, yang dapat mengakibatkan kerusakan memori dan dapat memungkinkan pelaku ancaman merusak aplikasi. Pada versi yang lebih lama dari 4.8.12.20211115, kerentanan ini juga dapat dimanfaatkan untuk mengeksekusi kode abitrer. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh Tim Keamanan Ofensif Zoom |
|||||
|
ZSB-22011 | 06/14/2022 | Pemeriksaan Otorisasi Tidak Memadai Selama Bergabung Ke Rapat | Sedang | CVE-2022-28749 |
Keparahan: Sedang Skor CVSS: 6.5 String Vektor CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
Deskripsi: MMR Konektor Rapat Lokal Zoom sebelum versi 4.8.113.20220526 gagal memeriksa izin peserta rapat Zoom dengan benar. Akibatnya, aktor ancaman di ruang tunggu Zoom dapat bergabung ke rapat tanpa persetujuan host. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh Tim Keamanan Ofensif Zoom |
|||||
|
ZSB- 22010 | 06/14/2022 | Injeksi DLL di penginstal Zoom Opener untuk klien Zoom dan Zoom Rooms | Tinggi | CVE-2022-22788 |
Keparahan: Tinggi Skor CVSS: 7.1 String Vektor CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:H
Deskripsi: Penginstal Zoom Opener diunduh oleh pengguna dari halaman Luncurkan rapat, saat mencoba bergabung ke rapat tanpa menginstal Zoom Meeting Client. Penginstal Zoom Opener untuk Zoom Client for Meetings sebelum versi 5.10.3 dan Zoom Rooms untuk Ruang Konferensi untuk Windows sebelum versi 5.10.3 rentan terhadap serangan injeksi DLL. Kerentanan ini dapat digunakan untuk menjalankan kode arbitrer pada host korban. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh James Tsz Ko Yeung |
|||||
|
ZSB-22009 | 05/17/2022 | Validasi nama host tidak mencukupi selama peralihan server di Zoom Client for Meetings | Sedang | CVE-2022-22787 |
Keparahan: Sedang Skor CVSS: 5.9 String Vektor CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:L
Deskripsi: Zoom Client for Meetings (untuk Android, iOS, Linux, MacOS, dan Windows) sebelum versi 5.10.0 gagal memvalidasi nama host dengan baik selama permintaan pengalihan server. Masalah ini dapat digunakan dalam serangan yang lebih canggih untuk mengelabui klien pengguna yang tidak curiga agar terhubung ke server jahat saat mencoba menggunakan layanan Zoom. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh Ivan Fratric dari Google Project Zero |
|||||
|
ZSB-22008 | 05/17/2022 | Perbarui paket penurunan Zoom Client for Meetings untuk Windows | Tinggi | CVE-2022-22786 |
Keparahan: Tinggi Skor CVSS: 7.5 String Vektor CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
Deskripsi: Zoom Client for Meetings untuk Windows sebelum versi 5.10.0 dan Zoom Rooms untuk Ruang Konferensi untuk Windows sebelum versi 5.10.0, gagal memeriksa versi instalasi dengan baik selama proses pembaruan. Masalah ini dapat digunakan dalam serangan yang lebih canggih untuk mengelabui pengguna agar menurunkan versi Zoom Client mereka ke versi yang kurang aman. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh Ivan Fratric dari Google Project Zero |
|||||
|
ZSB-22007 | 05/17/2022 | Cookie sesi yang dibatasi secara tidak benar di Zoom Client for Meetings | Sedang | CVE-2022-22785 |
Keparahan: Sedang Skor CVSS: 5.9 String Vektor CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:L
Deskripsi: Zoom Client for Meetings (untuk Android, iOS, Linux, MacOS, dan Windows) sebelum versi 5.10.0 gagal membatasi cookie sesi klien dengan benar ke domain Zoom. Masalah ini dapat digunakan dalam serangan yang lebih canggih untuk mengirim cookie sesi yang tercakup oleh Zoom pengguna ke domain non-Zoom. Ini berpotensi memalsukan pengguna Zoom. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh Ivan Fratric dari Google Project Zero |
|||||
|
ZSB- 22006 | 05/17/2022 | Penguraian XML yang Tidak Benar di Zoom Client for Meetings | Tinggi | CVE-2022-22784 |
Keparahan: Tinggi Skor CVSS: 8.1 String Vektor CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
Deskripsi: Zoom Client for Meetings (untuk Android, iOS, Linux, MacOS, dan Windows) sebelum versi 5.10.0 gagal mengurai bait XML dengan benar dalam pesan XMPP. Hal ini dapat memungkinkan pengguna jahat untuk merusak konteks pesan XMPP saat ini dan membuat konteks pesan baru agar klien pengguna penerima melakukan berbagai tindakan. Masalah ini dapat digunakan dalam serangan yang lebih canggih untuk memalsukan pesan XMPP dari server. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh Ivan Fratric dari Google Project Zero |
|||||
|
ZSB- 22005 | 04/27/2022 | Eksposur memori proses di layanan Rapat lokal Zoom | Tinggi | CVE-2022-22783 |
Keparahan: Tinggi Skor CVSS: 8.3 String Vektor CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N/CR:H
Deskripsi: Kerentanan di Pengontrol Konektor Rapat Lokal Zoom versi 4.8.102.20220310 dan MMR Konektor Rapat Lokal versi 4.8.102.20220310 mengekspos fragmen memori proses ke klien yang terhubung, yang dapat diamati oleh penyerang pasif. Produk yang Terpengaruh:
Sumber: Tim Keamanan Ofensif Zoom |
|||||
|
ZSB-22004 | 04/27/2022 | Eskalasi hak istimewa lokal di Zoom Client Windows | Tinggi | CVE-2022-22782 |
Keparahan: Tinggi Skor CVSS: 7.9 String Vektor CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:C/C:N/I:H/A:H
Deskripsi: Zoom Client for Meetings untuk Windows sebelum versi 5.9.7, Zoom Rooms untuk Ruang Konferensi untuk Windows sebelum versi 5.10.0, Plugin Zoom untuk Microsoft Outlook untuk Windows sebelum versi 5.10.3, dan Zoom VDI Windows Meeting Clients sebelum versi 5.9.6; rentan terhadap masalah eskalasi hak istimewa lokal selama operasi perbaikan penginstal. Pelaku ancaman dapat memanfaatkan ini untuk berpotensi menghapus file atau folder tingkat sistem, menyebabkan masalah integritas atau ketersediaan pada mesin host pengguna. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh Zero Day Initiative |
|||||
|
ZSB-22003 | 04/27/2022 | Perbarui paket penurunan Zoom Client for Meetings untuk macOS | Tinggi | CVE-2022-22781 |
Keparahan: Tinggi Skor CVSS: 7.5 String Vektor CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
Deskripsi: Zoom Client for Meetings untuk macOS (Standar dan untuk Admin IT) sebelum versi 5.9.6 gagal memeriksa versi paket dengan benar selama proses pembaruan. Hal ini dapat menyebabkan pelaku ancaman memperbarui versi pengguna yang saat ini diinstal ke versi yang kurang aman. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh Patrick Wardle dari Objective-See |
|||||
|
ZSB-22002 | 02/08/2022 | Zoom Team Chat Rentan terhadap Zip Bombing | Sedang | CVE-2022-22780 |
Keparahan: Sedang Skor CVSS: 4.7 String Vektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:N/I:N/A:L
Deskripsi: Fungsi obrolan Zoom Client for Meetings rentan terhadap serangan bom Zip dalam versi produk berikut: Android sebelum versi 5.8.6, iOS sebelum versi 5.9.0, Linux sebelum versi 5.8.6, macOS sebelum versi 5.7.3, dan Windows sebelum versi 5.6.3. Hal ini dapat menyebabkan masalah ketersediaan pada host klien dengan sumber daya sistem yang melelahkan. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh Johnny Yu dari Walmart Global Tech |
|||||
|
ZSB-22001 | 02/08/2022 | Pesan meledak yang disimpan di klien Keybase untuk macOS dan Windows | Rendah | CVE-2022-22779 |
Keparahan: Rendah Skor CVSS: 3.7 String Vektor CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N
Deskripsi: Klien Keybase untuk macOS dan Windows sebelum versi 5.9.0 gagal menghapus pesan yang meledak dengan benar yang dimulai oleh pengguna. Hal ini dapat terjadi jika pengguna penerima beralih ke fitur non-chat dan menempatkan host dalam keadaan tidur sebelum pengguna pengirim meledakkan pesan. Hal ini dapat menyebabkan pengungkapan informasi sensitif yang dimaksudkan untuk dihapus dari sistem file pengguna. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh Olivia O'Hara |
|||||
|
ZSB-21022 | 12/14/2021 | Eksekusi perintah arbitrer di Klien Keybase untuk Windows | Sedang | CVE-2021-34426 |
Keparahan: Sedang Skor CVSS: 5.3 String Vektor CVSS: CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L
Deskripsi: Kerentanan ditemukan di Klien Keybase untuk Windows sebelum versi 5.6.0 ketika pengguna menjalankan perintah "keybase git lfs-config" pada baris perintah. Dalam versi sebelum 5.6.0, aktor jahat dengan akses tulis ke repositori Git pengguna dapat memanfaatkan kerentanan ini untuk berpotensi menjalankan perintah Windows sewenang-wenang pada sistem lokal pengguna. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh RyotaK |
|||||
|
ZSB-21021 | 12/14/2021 | Pemalsuan Permintaan Sisi Server di obrolan Zoom Client for Meetings | Sedang | CVE-2021-34425 |
Keparahan: Sedang Skor CVSS: 4.7 String Vektor CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:N
Deskripsi: Zoom Client for Meetings sebelum versi 5.7.3 (untuk Android, iOS, Linux, macOS, dan Windows) berisi kerentanan pemalsuan permintaan sisi server dalam fungsi "pratinjau tautan" obrolan. Dalam versi sebelum 5.7.3, jika pengguna mengaktifkan fitur "pratinjau tautan" obrolan, aktor jahat dapat menipu pengguna agar berpotensi mengirim permintaan HTTP GET arbitrer ke URL yang tidak dapat dijangkau aktor secara langsung. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh Johnny Yu dari Walmart Global Tech |
|||||
|
ZSB-21020 | 11/24/2021 | Memproses pencahayaan memori di Zoom Client dan produk lainnya | Sedang | CVE-2021-34424 |
Keparahan: Sedang Skor CVSS: 5.3 String Vektor CVSS: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Deskripsi: Kerentanan ditemukan dalam produk yang tercantum di bagian "Produk yang Terpengaruh" dari buletin ini yang berpotensi memungkinkan paparan keadaan memori proses. Masalah ini dapat digunakan untuk berpotensi mendapatkan wawasan tentang area sewenang-wenang dari memori produk. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh Natalie Silvanovich dari Google Project Zero |
|||||
|
ZSB-21019 | 11/24/2021 | Buffer overflow di Zoom Client dan produk lainnya | Tinggi | CVE-2021-34423 |
Keparahan: Tinggi Skor CVSS: 7.3 String Vektor CVSS: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L
Deskripsi: Kerentanan buffer overflow ditemukan dalam produk yang tercantum di bagian "Produk Yang Terpengaruh" dari buletin ini. Hal ini berpotensi memungkinkan aktor jahat untuk merusak layanan atau aplikasi, atau memanfaatkan kerentanan ini untuk mengeksekusi kode arbitrer. Produk yang Terpengaruh:
Sumber: Sumber: Dilaporkan oleh Natalie Silvanovich dari Google Project Zero |
|||||
|
ZSB-21018 | 11/09/2021 | Traversal jalur nama file di Klien Keybase untuk Windows | Tinggi | CVE-2021-34422 |
Keparahan: Tinggi Skor CVSS: 7.2 String Vektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N
Deskripsi: Klien Keybase untuk Windows sebelum versi 5.7.0 berisi kerentanan traversal jalur saat memeriksa nama file yang diunggah ke folder tim. Pengguna jahat dapat mengunggah file ke folder bersama dengan nama file yang dibuat khusus yang memungkinkan pengguna untuk menjalankan aplikasi yang tidak dimaksudkan pada mesin host mereka. Jika pengguna jahat memanfaatkan masalah ini dengan fitur berbagi folder publik dari klien Keybase, ini dapat menyebabkan eksekusi kode jarak jauh. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh m4t35z |
|||||
|
ZSB-21017 | 11/09/2021 | Pesan meledak yang ditahan di klien Keybase untuk Android dan iOS | Rendah | CVE-2021-34421 |
Keparahan: Rendah Skor CVSS: 3.7 String Vektor CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N
Deskripsi: Klien Keybase untuk Android sebelum versi 5.8.0 dan Klien Keybase untuk iOS sebelum versi 5.8.0 gagal menghapus pesan yang meledak dengan benar yang dimulai oleh pengguna jika pengguna penerima menempatkan sesi obrolan di latar belakang saat pengguna pengirim meledakkan pesan. Hal ini dapat menyebabkan pengungkapan informasi sensitif yang dimaksudkan untuk dihapus dari perangkat pelanggan. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh Olivia O'Hara, John Jackson, Jackson Henry, dan Robert Willis |
|||||
|
ZSB-21016 | 11/09/2021 | Bypass tanda tangan yang dapat dieksekusi instalasi Zoom Windows | Sedang | CVE-2021-34420 |
Keparahan: Sedang Skor CVSS: 4.7 String Vektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:N/I:L/A:N
Deskripsi: Penginstal Zoom Client for Meetings untuk Windows sebelum versi 5.5.4 tidak memverifikasi tanda tangan file dengan ekstensi .msi, .ps1, dan .bat. Hal ini dapat menyebabkan aktor jahat menginstal perangkat lunak berbahaya di komputer pelanggan. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh Laurent Delosieres dari ManoMano |
|||||
|
ZSB-21015 | 11/09/2021 | Injeksi HTML di klien Zoom Linux | Rendah | CVE-2021-34419 |
Keparahan: Rendah Skor CVSS: 3.7 String Vektor CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N
Deskripsi: Di Zoom Client for Meetings untuk Ubuntu Linux sebelum versi 5.1.0, ada cacat injeksi HTML saat mengirim permintaan remote control ke pengguna dalam proses berbagi layar dalam rapat. Hal ini dapat memungkinkan peserta pertemuan menjadi sasaran serangan rekayasa sosial. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh Danny de Weille dan Rick Verdoes dari hackdefense |
|||||
|
ZSB-21014 | 11/09/2021 | Penunjuk Null pra-otorisasi mogok di konsol web lokal | Sedang | CVE-2021-34418 |
Keparahan: Sedang Skor CVSS: 4,0 String Vektor CVSS: CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L Deskripsi: Layanan login konsol web untuk produk yang tercantum di bagian "Produk yang Terpengaruh" dari buletin ini, gagal memvalidasi bahwa byte NULL dikirim saat mengautentikasi. Hal ini dapat menyebabkan crash dari layanan login. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh Jeremy Brown |
|||||
|
ZSB-21013 | 11/09/2021 | Eksekusi perintah jarak jauh yang diautentikasi dengan hak istimewa root melalui konsol web di MMR | Tinggi | CVE-2021-34417 |
Keparahan: Tinggi Skor CVSS: 7.9 String Vektor CVSS: CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:N Deskripsi: Halaman proksi jaringan di portal web untuk produk yang tercantum di bagian "Produk yang Terpengaruh" dari buletin ini, gagal memvalidasi input yang dikirim dalam permintaan untuk mengatur kata sandi proksi jaringan. Hal ini dapat menyebabkan injeksi perintah jarak jauh oleh administrator portal web. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh Jeremy Brown |
|||||
|
ZSB-21012 | 09/30/2021 | Eksekusi Kode Jarak Jauh terhadap Gambar Lokal melalui webportal | Sedang | CVE-2021-34416 |
Keparahan: Sedang Skor CVSS: 5.5 String Vektor CVSS: CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:C/C:L/I:L/A:N Deskripsi: Portal web pengaturan administratif alamat jaringan untuk Konektor Rapat Zoom lokal sebelum versi 4.6.360.20210325, MMR Konektor Rapat Zoom lokal sebelum versi 4.6.360.20210325, Konektor Perekaman Zoom lokal sebelum versi 3.8.44.20210326, Konektor Ruang Virtual Zoom lokal sebelum versi 4.4.6752.20210326, dan Penyeimbang Beban Konektor Ruang Zoom Lokal sebelum versi 2.5.5495.20210326 gagal memvalidasi input yang dikirim dalam permintaan untuk memperbarui jaringan konfigurasi, yang dapat menyebabkan injeksi perintah jarak jauh pada gambar lokal oleh administrator portal web. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh Egor Dimitrenko dari Positive Technologies |
|||||
|
ZSB-21011 | 09/30/2021 | ZC crash menggunakan PDU yang menyebabkan banyak alokasi | Tinggi | CVE-2021-34415 |
Keparahan: Tinggi Skor CVSS: 7.5 String Vektor CVSS: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H Deskripsi: Layanan Zone Controller di Zoom On-Premise Meeting Connector Controller sebelum versi 4.6.358.20210205 tidak memverifikasi bidang cnt yang dikirim dalam paket jaringan yang masuk, yang menyebabkan kelelahan sumber daya dan kerusakan sistem. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh Nikita Abramov dari Positive Technologies |
|||||
|
ZSB-21010 | 09/30/2021 | Eksekusi Kode Jarak Jauh terhadap server Konektor Rapat melalui konfigurasi proksi jaringan webportal | Sedang | CVE-2021-34414 |
Keparahan: Sedang Skor CVSS: 7.2 String Vektor CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H Deskripsi: Halaman proksi jaringan di portal web untuk Pengontrol Konektor Rapat lokal Zoom sebelum versi 4.6.348.20201217, Zoom ON-PREMISE Meeting Connector MMR sebelum versi 4.6.348.20201217, Zoom on-premise Recording Connector sebelum versi 3.8.42.20200905, Zoom on-premise Virtual Room Connector sebelum versi 4.4.6620.20201110, dan Zoom on-premise Virtual Room Connector Load Balancer sebelum versi 2.5.5495.20210326 gagal memvalidasi input yang dikirim dalam permintaan untuk memperbarui proxy jaringan konfigurasi, yang dapat menyebabkan injeksi perintah jarak jauh pada gambar lokal oleh administrator portal web. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh Egor Dimitrenko dari Positive Technologies |
|||||
|
ZSB-21009 | 09/30/2021 | Eskalasai Hak Istimewa Lokal Penginstal Plugin Zoom untuk Microsoft Outlook untuk macOS | Rendah | CVE-2021-34413 |
Keparahan: Rendah Skor CVSS: 2.8 String Vektor CVSS: CVSS:3.0/AV:L/AC:H/PR:L/UI:N/S:C/C:N/I:L/A:N Deskripsi: Semua versi Plugin Zoom untuk Microsoft Outlook untuk macOS sebelum versi 5.3.52553.0918 berisi kerentanan Time-of-check Time-of-use (TOC/TOU) selama proses instalasi plugin. Ini dapat memungkinkan pengguna standar untuk menulis aplikasi berbahaya mereka sendiri ke direktori plugin, memungkinkan aplikasi berbahaya untuk mengeksekusi dalam konteks istimewa. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh Lockheed Martin Red Team |
|||||
|
ZSB-21008 | 09/30/2021 | Eskalasi Hak Istimewa Lokal Penginstal Windows untuk Windows | Sedang | CVE-2021-34412 |
Keparahan: Sedang Skor CVSS: 4.4 String Vektor CVSS: CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N
Deskripsi: Selama proses instalasi untuk semua versi Zoom Client for Meetings untuk Windows sebelum 5.4.0, dimungkinkan untuk meluncurkan Internet Explorer. Jika penginstal diluncurkan dengan hak istimewa yang ditinggikan seperti oleh SCCM, ini dapat mengakibatkan eskalasi hak istimewa lokal. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh Lockheed Martin Red Team |
|||||
|
ZSB-21007 | 09/30/2021 | Eskalasi Hak Istimewa Lokal Penginstal Zoom Rooms | Sedang | CVE-2021-34411 |
Keparahan: Sedang Skor CVSS: 4.4 String Vektor CVSS: CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N
Deskripsi: Selama proses instalasi untukZoom Rooms for Conference Room untuk Windows sebelum versi 5.3.0 dimungkinkan untuk meluncurkan Internet Explorer dengan hak istimewa yang tinggi. Jika penginstal diluncurkan dengan hak istimewa yang ditinggikan seperti oleh SCCM, ini dapat mengakibatkan eskalasi hak istimewa lokal. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh Lockheed Martin Red Team |
|||||
|
ZSB-21004 | 09/30/2021 | Zoom MSI Installer Elevated Write Menggunakan Persimpangan | Tinggi | CVE-2021-34408 |
Keparahan: Tinggi Skor CVSS: 7.0 String Vektor CVSS: CVSS:3.0/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H
Deskripsi: Direktori yang dapat ditulis pengguna yang dibuat selama instalasi Zoom Client for Meetings untuk versi Windows sebelum versi 5.3.2 dapat dialihkan ke lokasi lain menggunakan persimpangan. Ini akan memungkinkan penyerang untuk menimpa file yang tidak dapat dimodifikasi oleh pengguna terbatas. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh Lockheed Martin Red Team |
|||||
|
ZSB-21003 | 09/30/2021 | Bypass Tanda Tangan Digital Penginstal Windows Zoom | Tinggi | CVE-2021-33907 |
Keparahan: Tinggi Skor CVSS: 7.0 String Vektor CVSS: CVSS:3.0/AV:L/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:H/CR:H/IR:H/AR:H/MAV:L/MAC:H/MPR:N/MUI:R/MS:U/MC:H/MI:H/MA:H
Deskripsi: Zoom Client for Meetings untuk Windows di semua versi sebelum 5.3.0 gagal memvalidasi informasi sertifikat yang digunakan untuk menandatangani file .msi dengan benar saat melakukan pembaruan klien. Hal ini dapat menyebabkan eksekusi kode jarak jauh dalam konteks istimewa yang tinggi. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh Lockheed Martin Red Team |
|||||
|
ZSB-21002 | 08/13/2021 | Heap overflow dari buffer statis yang tidak dicentang tulis dari pesan XMPP | Tinggi | CVE-2021-30480 |
Keparahan: Tinggi Skor CVSS: 8.1 String Vektor CVSS: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H/CR:H/IR:H/AR:H/MAV:N/MAC:H/MPR:N/MUI:N/MS:U/MC:H/MI:H/MA:H
Deskripsi: Buffer overflow berbasis heap ada di semua versi desktop Zoom Client for Meetings sebelum versi 5.6.3. Temuan ini dilaporkan ke Zoom sebagai bagian dari Pwn20wn Vancouver 2021. Rantai serangan yang ditunjukkan selama Pwn20wn dikurangi dalam perubahan sisi server dalam infrastruktur Zoom pada 2021-04-09. Produk yang Terpengaruh:
Sumber: Dilaporkan oleh Daan Keuper dan Thijs Alkemade dari Computest melalui Zero Day Initiative |
|||||
|
ZSB-21001 | 03/26/2021 | Fungsi Berbagi Layar Jendela Aplikasi | Sedang | CVE-2021-28133 |
Keparahan: Sedang Skor CVSS: 5.7 String Vektor CVSS: CVSS:3.0/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:N/A:N
Deskripsi: Kerentanan memengaruhi fungsi layar berbagi Zoom Windows dan Linux Client saat berbagi jendela aplikasi individual, di mana konten layar aplikasi yang tidak dibagikan secara eksplisit oleh pengguna berbagi layar dapat dilihat oleh peserta rapat lain untuk sesaat jika "sharer" meminimalkan, memaksimalkan, atau menutup jendela lain. Produk yang Terpengaruh:
Sumber: Ditemukan oleh Michael Stramez dan Matthias Deeg. |
|||||
|
ZSB-20002 | 08/14/2020 | DLL Windows di Layanan Berbagi Zoom | Tinggi | CVE-2020-9767 |
Keparahan: Tinggi Skor CVSS: 7.8 String Vektor CVSS: CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Deskripsi: Kerentanan yang terkait dengan pemuatan Dynamic-link Library ("DLL") di Layanan Berbagi Zoom dapat memungkinkan pengguna Windows lokal untuk meningkatkan hak istimewa kepada pengguna NT AUTHORITY/SYSTEM. Produk yang Terpengaruh:
Sumber: Connor Scott dari Context Information Security |
|||||
|
ZSB-20001 | 05/04/2020 | Penginstal TI Zoom untuk Windows | Tinggi | CVE-2020-11443 |
Keparahan: Tinggi Skor CVSS: Basis: 8.4 String Vektor CVSS: CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:C/C:N/I:H/A:H
Deskripsi: Kerentanan dalam cara penginstal Zoom Windows menangani persimpangan saat menghapus file dapat memungkinkan pengguna Windows lokal untuk menghapus file jika tidak dapat dihapus oleh pengguna. Produk yang Terpengaruh:
Sumber: Terima kasih kepada Tim Merah Lockheed Martin. |
|||||
|
ZSB-19003 | 07/12/2019 | Daemon ZoomOpener | Tinggi | CVE-2019-13567 |
Keparahan: Tinggi Skor CVSS: Basis: 7.5 String Vektor CVSS: CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
Deskripsi: Kerentanan di Zoom Client untuk macOS dapat memungkinkan penyerang mengunduh perangkat lunak berbahaya ke perangkat korban. Produk yang Terpengaruh:
Sumber: Tidak diketahui |
|||||
|
ZSB-19002 | 07/09/2019 | Pengaturan Video Default | Rendah | CVE-2019-13450 |
Keparahan: Rendah Skor CVSS: Basis: 3.1 String Vektor CVSS: CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N
Deskripsi: Kerentanan di Zoom Client untuk macOS dan RingCentral memungkinkan penyerang jarak jauh yang tidak diautentikasi untuk memaksa pengguna bergabung dengan panggilan video dengan kamera video aktif. Produk yang Terpengaruh:
Sumber: Ditemukan oleh Jonathan Leitschuh. |
|||||
|
ZSB-19001 | 07/09/2019 | Serangan Penolakan layanan - macOS | Rendah | CVE-2019-13449 |
Keparahan: Rendah Skor CVSS: Basis: 3.1 String Vektor CVSS: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H
Deskripsi: Kerentanan pada Zoom Client untuk macOS dapat memungkinkan penyerang jarak jauh yang tidak diautentikasi untuk memicu kondisi penolakan layanan pada sistem korban. Produk yang Terpengaruh:
Sumber: Ditemukan oleh Jonathan Leitschuh. |
|||||
No results found |
Berikan alamat email pribadi Anda untuk menerima pemberitahuan Buletin Keamanan Zoom di masa mendatang. (Catatan: Alias email tidak akan menerima pemberitahuan ini.)