Trust Center Security, Privacy, Blogs Additional Resources

Bollettini di sicurezza

Per informazioni sulla risposta a Log4j, consulta il Bollettino sulla sicurezza Zoom e leggi le divulgazioni su Apache Log4j.

PER SAPERNE DI PIÙ

Bollettini di sicurezza

	ZSB	Date	Title	Severity	CVE (if applicable)
	ZSB-23005	03/14/2023	Implementazione errata del confine di fiducia per il SMB nei client Zoom	High	CVE-2023-28597
Severity: High CVSS Score: 8.3 CVSS Vector String: CVSS:3.1/AV:A/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H Description: I client Zoom precedenti alla versione 5.13.5 contengono una vulnerabilità nell'implementazione di un confine di fiducia errato Se la vittima salva una registrazione locale in una posizione SMB e successivamente la apre utilizzando un link dal web portal di Zoom, un malintenzionato posizionato su una rete adiacente al client vittima potrebbe impostare un server SMB dannoso che risponda alle richieste del client. In questo modo provocherebbe l'esecuzione di file eseguibili controllati dal malintenzionato. In questo modo il malintenzionato potrebbe ottenere l'accesso al dispositivo e ai dati dell'utente ed eseguire il codice da remoto. Gli utenti possono mantenere la sicurezza applicando gli aggiornamenti attuali o scaricando il software di Zoom più recente con tutti gli ultimi aggiornamenti sulla sicurezza da https://zoom.us/download. Affected Products: Client Zoom (per Android, iOS, Linux, macOS e Windows) precedenti alla versione 5.13.5 Client Zoom Rooms (per Android, iOS, Linux, macOS e Windows) precedenti alla versione 5.13.5 Client Zoom VDI Windows Meeting precedenti alla versione 5.13.10 Source: Segnalato dal Team per la sicurezza dagli attacchi di Zoom
	ZSB-23004	03/14/2023	Escalation dei privilegi locali per il programma di installazione Zoom for macOS	Medium	CVE-2023-28596
Severity: Medium CVSS Score: 5.2 CVSS Vector String: CVSS:3.1/AV:L/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:L Description: Il programma di installazione del client Zoom for macOS (per amministratori IT) precedente alla versione 5.13.5 contiene una vulnerabilità di escalation dei privilegi locali. Un utente locale con privilegi limitati potrebbe sfruttare questa vulnerabilità in un catena di attacchi durante il processo di installazione per aumentare i propri privilegi a quelli del root. Gli utenti possono mantenere la sicurezza applicando gli aggiornamenti attuali o scaricando il software di Zoom più recente con tutti gli ultimi aggiornamenti sulla sicurezza da https://zoom.us/download. Affected Products: Programma di installazione di Zoom Client for Meetings per macOS (per amministratori IT) precedente alla versione 5.13.5 Source: Segnalato da Koh M. Nakagawa (tsunekoh)
	ZSB-23003	03/14/2023	Escalation dei privilegi locali per il programma di installazione Zoom for Windows	High	CVE-2023-22883
Severity: High CVSS Score: 7.2 CVSS Vector String: CVSS:3.1/AV:L/AC:H/PR:L/UI:R/S:C/C:N/I:H/A:H Description: Il programma di installazione del client Zoom for Windows (per amministratori IT) precedente alla versione 5.13.5 contiene una vulnerabilità di escalation dei privilegi locali. Un utente locale con privilegi limitati, per aumentare i propri privilegi all'utente SYSTEM, può sfruttare questa vulnerabilità in una catena di attacchi durante il processo di installazione. Gli utenti possono mantenere la sicurezza applicando gli aggiornamenti attuali o scaricando il software di Zoom più recente con tutti gli ultimi aggiornamenti sulla sicurezza da https://zoom.us/download. Affected Products: Programma di installazione di Zoom Client for Meetings per Windows (per amministratori IT) precedente alla versione 5.13.5 Source: Segnalato da sim0nsecurity
	ZSB-23002	03/14/2023	Denial of Service (DoS) sui client Zoom	Medium	CVE-2023-22881 CVE-2023-22882
Severity: Medium CVSS Score: 6.5 CVSS Vector String: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H Description: I client Zoom precedenti alla versione 5.13.5 contengono una vulnerabilità di analisi STUN. Un attore malintenzionato potrebbe inviare traffico dell'UDP appositamente creato a un client Zoom vittima per provocare da remoto il crash del client, provocando un DoS. Gli utenti possono mantenere la sicurezza applicando gli aggiornamenti attuali o scaricando il software di Zoom più recente con tutti gli ultimi aggiornamenti sulla sicurezza da https://zoom.us/download. Affected Products: Client Zoom (per Android, iOS, Linux, macOS e Windows) precedenti alla versione 5.13.5 Source: Segnalato dal Team per la sicurezza dagli attacchi di Zoom
	ZSB-23001	03/14/2023	Divulgazione delle informazioni nei client Zoom for Windows	Medium	CVE-2023-22880
Severity: Medium CVSS Score: 6.8 CVSS Vector String: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:N/A:N Description: I client Zoom for Windows precedenti alla versione 5.13.3, i client Zoom Rooms for Windows precedenti alla versione 5.13.5 e i client Zoom VDI for Windows precedenti alla versione 5.13.1 contengono una vulnerabilità sulla divulgazione delle informazioni. Un recente aggiornamento del tempo di esecuzione WebView2 di Microsoft Edge, usato dai client Zoom interessati, ha trasmesso il testo al servizio di controllo ortografico online di Microsoft anziché a quello locale di Windows. L'aggiornamento di Zoom risolve questa vulnerabilità, disabilitando la funzionalità. L'aggiornamento del tempo di esecuzione Microsoft Edge WebView2 alla versione 109.0.1481.0, come minimo, e il riavvio di Zoom risolvono questa vulnerabilità aggiornando il comportamento della telemetria di Microsoft. Gli utenti possono mantenere la sicurezza applicando gli aggiornamenti attuali o scaricando il software di Zoom più recente con tutti gli ultimi aggiornamenti sulla sicurezza da https://zoom.us/download. Affected Products: Client Zoom for Windows precedenti alla versione 5.13.3 Client Zoom Rooms for Windows precedenti alla versione 5.13.3 Client Zoom VDI for Windows precedenti alla versione 5.13.1 Source: Segnalato dal Team per la sicurezza di Zoom
	ZSB-22035	01/06/2023	Escalation dei privilegi locali nel programma di installazione Windows per Zoom Rooms	High	CVE-2022-36930
Severity: High CVSS Score: 8.2 CVSS Vector String: CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H Description: Il programma di installazione Zoom Rooms for Windows precedente alla versione 5.13.0 contiene una vulnerabilità di escalation dei privilegi locali. Un utente locale con privilegi limitati, per aumentare i propri privilegi all'utente SYSTEM, può sfruttare questa vulnerabilità in una catena di attacchi. Gli utenti possono mantenere la sicurezza applicando gli aggiornamenti attuali o scaricando il software di Zoom più recente con tutti gli ultimi aggiornamenti sulla sicurezza da https://zoom.us/download. Affected Products: Programma di installazione di Zoom Rooms for Meetings precedente alla versione 5.13.0 Source: Segnalato da sim0nsecurity
	ZSB-22034	01/06/2023	Escalation dei privilegi locali nei client Zoom Rooms for Windows.	High	CVE-2022-36929
Severity: High CVSS Score: 7.8 CVSS Vector String: CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H Description: I client Zoom Rooms for Windows precedenti alla versione 5.12.7 contengono una vulnerabilità di escalation dei privilegi locali. Un utente locale con privilegi limitati, per aumentare i propri privilegi all'utente SYSTEM, può sfruttare questa vulnerabilità in una catena di attacchi. Gli utenti possono mantenere la sicurezza applicando gli aggiornamenti attuali o scaricando il software di Zoom più recente con tutti gli ultimi aggiornamenti sulla sicurezza da https://zoom.us/download Affected Products: Client Zoom Rooms for Windows precedenti alla versione 5.12.7 Source: Segnalato da sim0nsecurity
	ZSB-22033	01/06/2023	Path traversal nei client Zoom for Android	Medium	CVE-2022-36928
Severity: Medium CVSS Score: 6.1 CVSS Vector String: CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:L/A:N Description: I client Zoom for Android precedenti alla versione 5.13.0 contengono una vulnerabilità Path Traversal. Un'app di terze parti potrebbe sfruttare questa vulnerabilità per leggere e scrivere nella directory dei dati dell'applicazione Zoom. Gli utenti possono mantenere la sicurezza applicando gli aggiornamenti attuali o scaricando il software di Zoom più recente con tutti gli ultimi aggiornamenti sulla sicurezza da https://zoom.us/download. Affected Products: Client Zoom for Android precedenti alla versione 5.13.0 Source: Segnalato da Dimitrios Valsamaras di Microsoft
	ZSB-22032	01/06/2023	Escalation dei privilegi locali nei client Zoom Rooms for macOS.	Critical	CVE-2022-36926 CVE-2022-36927
Severity: Critical CVSS Score: 8.8 CVSS Vector String: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H Description: I client Zoom Rooms for macOS precedenti alla versione 5.11.3 contengono una vulnerabilità di escalation dei privilegi locali. Un utente locale con privilegi limitati può sfruttare questa vulnerabilità per eseguire l'escalation dei propri privilegi al root. Gli utenti possono mantenere la sicurezza applicando gli aggiornamenti attuali o scaricando il software di Zoom più recente con tutti gli ultimi aggiornamenti sulla sicurezza da https://zoom.us/download. Affected Products: Client Zoom Rooms for macOS precedenti alla versione 5.11.3 Source: Segnalato da Kirin (Pwnrin)
	ZSB-22031	01/06/2023	Generazione di chiavi non sicure per i client Zoom Rooms for macOS	Medium	CVE-2022-36925
Severity: Medium CVSS Score: 4.4 CVSS Vector String: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L Description: I client Zoom Rooms for macOS precedenti alla versione 5.11.4 contengono un meccanismo di generazione delle chiavi non sicuro. La chiave di crittografia utilizzata per l'IPC tra il servizio daemon Zoom Rooms e i dispositivi per Zoom Rooms è stata generata utilizzando parametri che potevano essere ottenuti da un'applicazione locale con privilegi limitati. Tale chiave può quindi essere utilizzata per interagire con il servizio daemon per eseguire funzioni privilegiate e provocare un DoS locale. Gli utenti possono mantenere la sicurezza applicando gli aggiornamenti attuali o scaricando il software di Zoom più recente con tutti gli ultimi aggiornamenti sulla sicurezza da https://zoom.us/download. Affected Products: Zoom Rooms for macOS precedente alla versione 5.11.4 Source: Segnalato da Kirin (Pwnrin)
	ZSB-22030	11/15/2022	Escalation dei privilegi locali nel programma di installazione Zoom Rooms per Windows	Critical	CVE-2022-36924
Severity: Critical CVSS Score: 8.8 CVSS Vector String: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H Description: Il programma di installazione di Zoom Rooms per Windows precedente alla versione 5.12.6 contiene una vulnerabilità di escalation dei privilegi locali. Un utente locale con privilegi limitati, per aumentare i propri privilegi all'utente SYSTEM, può sfruttare questa vulnerabilità durante il processo di installazione. Gli utenti possono mantenere la sicurezza applicando gli aggiornamenti attuali o scaricando il software di Zoom più recente con tutti gli ultimi aggiornamenti sulla sicurezza da https://zoom.us/download. Affected Products: Programma di installazione di Zoom Rooms per Windows versione precedente alla 5.12.6 Source: Segnalato da sim0nsecurity
	ZSB-22029	11/15/2022	Escalation dei privilegi locali per il programma di installazione del client Zoom per macOS	Critical	CVE-2022-28768
Severity: Critical CVSS Score: 8.8 CVSS Vector String: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H Description: Il programma di installazione di Zoom Client for Meetings per macOS (Standard e per amministratori IT) precedenti alla versione 5.12.6 contiene una vulnerabilità di escalation dei privilegi locali. Un utente locale con privilegi limitati può sfruttare questa vulnerabilità durante il processo di installazione per aumentare i propri privilegi al root. Gli utenti possono mantenere la sicurezza applicando gli aggiornamenti attuali o scaricando il software di Zoom più recente con tutti gli ultimi aggiornamenti sulla sicurezza da https://zoom.us/download. Affected Products: Programma di installazione di Zoom Client for Meetings per macOS (Standard e per amministratori IT) precedente alla versione 5.12.6 Source: Segnalato da Koh M. Nakagawa (tsunekoh)
	ZSB-22027	11/15/2022	Inserimento di DLL nei client Windows Zoom	Critical	CVE-2022-28766
Severity: Critical CVSS Score: 8.1 CVSS Vector String: CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:L Description: Le versioni Windows a 32 bit di Zoom Client for Meetings precedenti alla 5.12.6 e Zoom Rooms per la sala conferenze precedenti alla versione 5.12.6 sono soggette a una vulnerabilità di inserimento DLL. Un utente locale con privilegi limitati può sfruttare questa vulnerabilità per eseguire codice arbitrario nel contesto del client Zoom. Gli utenti possono mantenere la sicurezza applicando gli aggiornamenti attuali o scaricando il software di Zoom più recente con tutti gli ultimi aggiornamenti sulla sicurezza da https://zoom.us/download Affected Products: Zoom Client for Meetings per Windows (32 bit) precedente alla versione 5.12.6 Client Zoom for Meetings VDI Windows Meeting per Windows (32 bit) precedente alla versione 5.12.6 Zoom Rooms per sala conferenze per Windows (32 bit) prima della versione 5.12.6 Source: Segnalato da sim0nsecurity
	ZSB-22025	11/10/2022	Esposizione delle informazioni locali nei client Zoom	Critical	CVE-2022-28764
Severity: Critical CVSS Score: 3.3 CVSS Vector String: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N Description: Zoom Client for Meetings (per Android, iOS, Linux, macOS e Windows) precedente alla versione 5.12.6 è soggetto a una vulnerabilità legata all'esposizione di informazioni locali. L'impossibilità di cancellare i dati da un database SQL locale al termine di una riunione e l'utilizzo di una chiave per dispositivo non sufficientemente sicura per la crittografia di tale database fanno sì che un utente locale malintenzionato sia in grado di ottenere informazioni sulla riunione, come la chat nella riunione per la riunione precedente, seguita dall'account utente locale. Gli utenti possono mantenere la sicurezza applicando gli aggiornamenti attuali o scaricando il software di Zoom più recente con tutti gli ultimi aggiornamenti sulla sicurezza da https://zoom.us/download. Affected Products: Zoom Client for Meetings (per Android, iOS, Linux, macOS e Windows) precedente alla versione 5.12.6 Client Zoom VDI Windows Meeting prima della versione 5.12.6 Zoom Rooms per sala conferenze (per Android, iOS, Linux, macOS e Windows) precedente alla versione 5.12.6 Source: Segnalato da Christian Zäske di SySS GmbH
	ZSB-22024	10/24/2022	Analisi URL errata negli Zoom Client	Critical	CVE-2022-28763
Severity: Critical CVSS Score: 8.8 CVSS Vector String: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H Description: La versione di Zoom Client for Meetings (per Android, iOS, Linux, macOS e Windows) precedente alla 5.12.2 è suscettibile di una vulnerabilità di analisi degli URL. Se viene aperto un URL di riunione Zoom dannoso, il link dannoso può indirizzare la connessione dell'utente verso un indirizzo di rete arbitrario, che porta a ulteriori attacchi, comprese le acquisizioni delle sessioni. Gli utenti possono mantenere la sicurezza applicando gli aggiornamenti attuali o scaricando il software di Zoom più recente con tutti gli ultimi aggiornamenti sulla sicurezza da https://zoom.us/download. Affected Products: Zoom Client for Meetings (per Android, iOS, Linux, macOS e Windows) precedente alla versione 5.12.2 Client Zoom VDI Windows Meeting prima della versione 5.12.2 Zoom Rooms per sala conferenze (per Android, iOS, Linux, macOS e Windows) precedente alla versione 5.12.2 Source: Segnalato dal Team per la sicurezza di Zoom
	ZSB-22023	10/11/2022	Debug di configurazione errata delle porte nelle Zoom apps in Zoom Client for Meetings per macOS	Critical	CVE-2022-28762
Severity: Critical CVSS Score: 7.3 CVSS Vector String: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:L Description: Zoom Client for Meetings per macOS (Standard e per amministratori IT) a partire dalla versione 5.10.6 e precedenti alla versione 5.12.0 contiene un errore di configurazione della porta di debug. Quando il contesto di rendering in modalità videocamera è abilitato come parte dell'API dei livelli dell'app Zoom, con mentre alcune Zoom Apps sono in esecuzione, il client Zoom apre una porta di debug locale. Un utente malintenzionato locale potrebbe sfruttare questa porta di debug per connettersi e controllare Zoom Apps in esecuzione nel client Zoom. Gli utenti possono mantenere la sicurezza applicando gli aggiornamenti attuali o scaricando il software di Zoom più recente con tutti gli ultimi aggiornamenti sulla sicurezza da https://zoom.us/download. Affected Products: Zoom Client for Meetings per macOS (standard e per amministratore IT) a partire dalla versione 5.10.6 e precedenti alla versione 5.12.0 Source: Segnalato dal Team per la sicurezza di Zoom
	ZSB-22022	10/11/2022	Implementazioni Zoom in sede: controllo degli accessi non corretto	Medium	CVE-2022-28761
Severity: Medium CVSS Score: 6.5 CVSS Vector String: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H Description: Il connettore riunioni Zoom in loco precedente alla versione 4.8.20220916.131 contiene una vulnerabilità di controllo degli accessi non corretto. Di conseguenza, l'attore malintenzionato di una riunione o di un webinar per i quali ha l'autorizzazione potrebbe impedire ai partecipanti la ricezione di audio e video causando interruzioni della riunione. Per le implementazioni Zoom in sede, gli amministratori IT possono contribuire all'aggiornamento continuo del software Zoom attenendosi alla seguente procedura: https://support.zoom.us/hc/en-us/articles/360043960031 Affected Products: Connettore riunioni in sede Zoom MMR precedente alla versione 4.8.20220916.131 Source: Segnalato dal Team per la sicurezza dagli attacchi di Zoom
	ZSB-22021	09/13/2022	Implementazioni Zoom in sede: controllo degli accessi non corretto	Medium	CVE-2022-28760
Severity: Medium CVSS Score: 6.5 CVSS Vector String: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N Description: Il connettore riunioni Zoom in loco precedente alla versione 4.8.20220815.130 contiene una vulnerabilità di controllo degli accessi non corretta. Di conseguenza, un attore malintenzionato può partecipare a una riunione con l'autorizzazione senza apparire agli altri partecipanti. Per le implementazioni Zoom in sede, gli amministratori IT possono contribuire all'aggiornamento continuo del software Zoom attenendosi alla seguente procedura: https://support.zoom.us/hc/en-us/articles/360043960031 Affected Products: Connettore riunioni in sede Zoom MMR precedente alla versione 4.8.20220815.130 Source: Segnalato dal Team per la sicurezza dagli attacchi di Zoom
	ZSB-22020	09/13/2022	Implementazioni Zoom in sede: controllo degli accessi non corretto	Critical	CVE-2022-28758 CVE-2022-28759
Severity: Critical CVSS Score: 8.2 CVSS Vector String: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N Description: Il connettore riunioni Zoom in sede MMR precedente alla versione 4.8.20220815.130 contiene una vulnerabilità di controllo di accesso non corretta. Di conseguenza, un attore malintenzionato potrebbe ottenere il feed audio e video di una riunione a cui non era autorizzato a partecipare e provocare altre interruzioni in riunione. Per le implementazioni Zoom in sede, gli amministratori IT possono contribuire all'aggiornamento continuo del software Zoom attenendosi alla seguente procedura: https://support.zoom.us/hc/en-us/articles/360043960031 Affected Products: Connettore riunioni in sede Zoom MMR precedente alla versione 4.8.20220815.130 Source: Segnalato dal Team per la sicurezza di Zoom
	ZSB-22019	08/17/2022	Escalation dei privilegi locali in autoaggiornamento per Zoom Client for Meetings per macOS	Critical	CVE-2022-28757
Severity: Critical CVSS Score: 8.8 CVSS Vector String: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H Description: Zoom Client for Meetings per macOS (Standard e per amministratore IT) a partire dalla versione 5.7.3 e prima della 5.11.6 contiene una vulnerabilità nel processo di aggiornamento automatico. Un utente locale con privilegi limitati può sfruttare questa vulnerabilità per eseguire l'escalation dei propri privilegi al root. Attenzione: questo problema consente un bypass del patch rilasciato nella versione 5.11.5 per rispondere a CVE-2022-28756. Gli utenti possono tutelarsi applicando gli aggiornamenti correnti o scaricando il software Zoom più recente con tutti gli aggiornamenti di sicurezza attuali da https://zoom.us/download. Affected Products: Zoom Client for Meetings per macOS (standard e per amministratore IT) a partire dalla versione 5.7.3 e precedenti alla versione 5.11.6 Source: Segnalato da Csaba Fitzl (theevilbit) di Offensive Security
	ZSB-22018	08/13/2022	Escalation dei privilegi locali in autoaggiornamento per i prodotti macOS Zoom [Updated 2022-09-13]	Critical	CVE-2022-28756
Severity: Critical CVSS Score: 8.8 CVSS Vector String: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H Description: Zoom Client for Meetings per macOS (Standard e per amministratore IT) a partire dalla versione 5.7.3 e precedente alla 5.11.5 e Zoom Rooms for sale conferenze per macOS prima della versione 5.11.6 contiene una vulnerabilità nel processo di aggiornamento automatico. Un utente locale con privilegi limitati può sfruttare questa vulnerabilità per eseguire l'escalation dei propri privilegi al root. Gli utenti possono mantenere la sicurezza applicando gli aggiornamenti attuali o scaricando il software di Zoom più recente con tutti gli ultimi aggiornamenti sulla sicurezza da https://zoom.us/download. Modifiche 13/09/2022 – Titolo aggiornato, descrizione e aggiunta di Zoom Rooms alla sezione "Prodotti interessati". Affected Products: Zoom Client for Meetings per macOS (Standard e per amministratori IT) a partire dalla versione 5.7.3 e precedente alla versione 5.11.5 Zoom Rooms per sala conferenze per macOS prima della versione 5.11.6 Source*: Segnalato da Patrick Wardle di Objective-See
	ZSB-22017	08/09/2022	Escalation dei privilegi locali per Zoom Client for Meetings per macOS	Critical	CVE-2022-28751
Severity: Critical CVSS Score: 8.8 CVSS Vector String: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H Description: Zoom Client for Meetings per macOS (Standard e per amministratore IT) precedente alla versione 5.11.3 contiene una vulnerabilità nella convalida della firma del pacchetto durante l'aggiornamento. Un utente locale con privilegi limitati può sfruttare questa vulnerabilità per eseguire l'escalation dei propri privilegi al root. Gli utenti possono mantenere la sicurezza applicando gli aggiornamenti attuali o scaricando il software di Zoom più recente con tutti gli ultimi aggiornamenti sulla sicurezza da https://zoom.us/download. Affected Products: Zoom Client for Meetings per MacOS (standard e per amministratore IT) prima della versione 5.11.3 Source: Segnalato da Patrick Wardle di Objective-See
	ZSB-22014	08/09/2022	Implementazioni Zoom in sede: controllo degli accessi non corretto	Critical	CVE-2022-28753 CVE-2022-28754
Severity: Critical CVSS Score: 7.1 CVSS Vector String: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:N Description: Il connettore riunioni Zoom in loco precedente alla versione 4.8.129.20220714 contiene una vulnerabilità di controllo degli accessi non corretta. Di conseguenza, un attore malintenzionato può partecipare a una riunione con l'autorizzazione senza apparire agli altri partecipanti, può ammettere se stesso in riunione dalla sala d'attesa e può diventare organizzatore e causare altre interruzioni della riunione. Per le implementazioni Zoom in sede, gli amministratori IT possono contribuire all'aggiornamento continuo del software Zoom attenendosi alla seguente procedura: https://support.zoom.us/hc/en-us/articles/360043960031 Affected Products: Connettore riunioni in sede Zoom MMR precedente alla versione 4.8.129.20220714 Source: Segnalato dal Team per la sicurezza dagli attacchi di Zoom
	ZSB-22016	08/09/2022	Analisi URL errata negli Zoom Client [Updated 2022-10-24]	Critical	CVE-2022-28755
Severity: Critical CVSS Score: 9.6 CVSS Vector String: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H Description: La versione di Zoom Client for Meetings (per Android, iOS, Linux, macOS e Windows) precedente alla 5.11.0 è suscettibile di una vulnerabilità di analisi degli URL. Se viene aperto un URL di riunione Zoom dannoso, tale link potrebbe indirizzare l'utente a un indirizzo di rete arbitrario, portando a ulteriori attacchi, incluso il potenziale di esecuzione di codice remoto attraverso il lancio di eseguibili da percorsi arbitrari. Modifiche – 2022-10-24 – Aggiunto Zoom Rooms alla sezione "Prodotti interessati". Gli utenti possono mantenere la sicurezza applicando gli aggiornamenti attuali o scaricando il software di Zoom più recente con tutti gli ultimi aggiornamenti sulla sicurezza da https://zoom.us/download. Affected Products: Zoom Client for Meetings (per Android, iOS, Linux, macOS e Windows) precedente alla versione 5.11.0 Client Zoom VDI Windows Meeting prima della versione 5.10.7 Zoom Rooms per sala conferenze (per Android, iOS, Linux, macOS e Windows) precedente alla versione 5.11.0 Source*: Segnalato dal Team per la sicurezza di Zoom
	ZSB-22013	08/09/2022	Escalation dei privilegi locali nei Client Windows di Zoom Rooms	Critical	CVE-2022-28752
Severity: Critical CVSS Score: 8.8 CVSS Vector String: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H Description: Zoom Rooms per sala conferenze per Windows prima della versione 5.11.0 sono soggette a una vulnerabilità di escalation dei privilegi locali. Un utente malintenzionato locale con privilegi limitati può sfruttare questa vulnerabilità per estendere i propri privilegi all'utente SYSTEM. Gli utenti possono mantenere la sicurezza applicando gli aggiornamenti attuali o scaricando il software di Zoom più recente con tutti gli ultimi aggiornamenti sulla sicurezza da https://zoom.us/download. Affected Products: Zoom Rooms per sala conferenze per Windows prima della versione 5.11.0 Source: Segnalato da sim0nsecurity
	ZSB-22012	08/09/2022	Implementazioni in sede Zoom: Buffer overflow dello stack nel connettore riunioni	Critical	CVE-2022-28750
Severity: Critical CVSS Score: 7.5 CVSS Vector String: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H Description: Controller di zona del Connettore riunioni Zoom in sede precedente alla versione 4.8.20220419.112 non è in grado di analizzare correttamente i codici di errore STUN, il che può causare il danneggiamento della memoria e potrebbe consentire a un attore malintenzionato di arrestare l'applicazione in modo anomalo. Questa vulnerabilità, nelle versioni precedenti alla 4.8.12.20211115, può essere sfruttata anche per eseguire codice arbitrario. Per le implementazioni Zoom in sede, gli amministratori IT possono contribuire all'aggiornamento continuo del software Zoom attenendosi alla seguente procedura: https://support.zoom.us/hc/en-us/articles/360043960031 Affected Products: Controller di zona del Connettore riunioni Zoom in sede precedente alla versione 4.8.20220419.112 Source: Segnalato dal Team per la sicurezza dagli attacchi di Zoom
	ZSB-22011	06/14/2022	Controllo dell'autorizzazione insufficiente durante l'accesso alla riunione	Medium	CVE-2022-28749
Severity: Medium CVSS Score: 6.5 CVSS Vector String: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N Description: Il connettore riunioni in locale MMR di Zoom precedente alla versione 4.8.113.20220526 non è in grado di verificare correttamente le autorizzazioni dei partecipanti alla riunione Zoom. Di conseguenza, una persona potenzialmente pericolosa nella sala d'attesa di Zoom può partecipare alla riunione senza il consenso dell'organizzatore. Gli utenti possono mantenere la sicurezza applicando gli aggiornamenti attuali o scaricando il software di Zoom più recente con tutti gli ultimi aggiornamenti sulla sicurezza da https://zoom.us/download. Affected Products: Connettore riunioni in locale precedente alla versione 4.8.113.20220526 Source: Segnalato dal Team per la sicurezza dagli attacchi di Zoom
	ZSB- 22010	06/14/2022	Inserimento di DLL nel programma di installazione di Zoom Opener per Zoom e per i dispositivi per Zoom Rooms	Critical	CVE-2022-22788
Severity: Critical CVSS Score: 7.1 CVSS Vector String: CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:H Description: Il programma di installazione di Zoom Opener viene scaricato da un utente dalla pagina Avvia riunione, quando prova a partecipare a una riunione senza aver installato Zoom desktop client per le riunioni. Il programma di installazione di Zoom Opener per Zoom Client for Meetings precedente alla versione 5.10.3 e Zoom Rooms per la sala conferenze per Windows precedente alla versione 5.10.3 potrebbero subire un attacco di inserimento DLL. Questa vulnerabilità può essere utilizzata per eseguire un codice arbitrario sull'host della vittima. Gli utenti possono proteggersi rimuovendo le versioni precedenti del programma di installazione di Zoom Opener ed eseguendo l'ultima versione del programma di installazione di Zoom Opener con il pulsante "Scarica ora" nella pagina "Avvia riunione". Gli utenti possono anche proteggersi scaricando il software di Zoom più recente con tutti gli aggiornamenti di sicurezza in vigore da https://zoom.us/download. Affected Products: Zoom Client for Meetings per Windows precedente alla versione 5.10.3 Tutte le versioni di Zoom Rooms per sala conferenze per Windows precedenti alla versione 5.10.3 Source: Segnalato da James Tsz Ko Yeung
	ZSB-22009	05/17/2022	Convalida del nome host insufficiente durante il cambio server in Zoom Client for Meetings	Medium	CVE-2022-22787
Severity: Medium CVSS Score: 5.9 CVSS Vector String: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:L Description: La versione di Zoom Client for Meetings (per Android, iOS, Linux, macOS e Windows) precedente alla 5.10.0 non riesce a convalidare correttamente il nome host durante una richiesta di cambio server Questo problema potrebbe essere sfruttato in un attacco più sofisticato che induce il client di un utente ignaro a connettersi a un server dannoso quando prova a utilizzare i servizi Zoom. Gli utenti possono mantenere la sicurezza applicando gli aggiornamenti attuali o scaricando il software di Zoom più recente con tutti gli ultimi aggiornamenti sulla sicurezza da https://zoom.us/download. Affected Products: Zoom Client for Meetings (per Android, iOS, Linux, macOS e Windows) precedente alla versione 5.10.0 Source: Segnalazione di Ivan Fratric di Google Project Zero
	ZSB-22008	05/17/2022	Aggiorna pacchetto downgrade in Zoom Client for Meetings per Windows.	Critical	CVE-2022-22786
Severity: Critical CVSS Score: 7.5 CVSS Vector String: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H Description: La versione di Zoom Client for Meetings precedente alla 5.10.0, e di Zoom Rooms per sale conferenze per Windows precedente alla versione 5.10.0 non riescono a verificare correttamente la versione di installazione durante la procedura di aggiornamento. Questo problema potrebbe essere sfruttato in un attacco più sofisticato per indurre un utente a eseguire il downgrade del proprio Zoom desktop client a una versione meno sicura. Gli utenti possono mantenere la sicurezza applicando gli aggiornamenti attuali o scaricando il software di Zoom più recente con tutti gli ultimi aggiornamenti sulla sicurezza da https://zoom.us/download. Affected Products: Tutte le versioni di Zoom Client for Meetings per Windows precedenti alla versione 5.10.0 Tutte le versioni di Zoom Rooms per sala conferenze per Windows precedenti alla versione 5.10.0 Source: Segnalazione di Ivan Fratric di Google Project Zero
	ZSB-22007	05/17/2022	Cookie di sessione non correttamente vincolati in Zoom Client for Meetings	Medium	CVE-2022-22785
Severity: Medium CVSS Score: 5.9 CVSS Vector String: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:L Description: La versione di Zoom Client for Meetings (per Android, iOS, Linux, macOS e Windows) precedente alla 5.10.0 non riesce a vincolare correttamente i cookie di sessione del client ai domini Zoom. Questo problema potrebbe essere sfruttato in un attacco più sofisticato per inviare i cookie di sessione legati a Zoom di un utente, a un dominio non di Zoom. In questo modo, si potrebbe potenzialmente consentire lo spoofing di un utente Zoom. Gli utenti possono mantenere la sicurezza applicando gli aggiornamenti attuali o scaricando il software di Zoom più recente con tutti gli ultimi aggiornamenti sulla sicurezza da https://zoom.us/download. Affected Products: Zoom Client for Meetings (per Android, iOS, Linux, macOS e Windows) precedente alla versione 5.10.0 Source: Segnalazione di Ivan Fratric di Google Project Zero
	ZSB-22006	05/17/2022	Analisi XML errata in Zoom Client for Meetings	Critical	CVE-2022-22784
Severity: Critical CVSS Score: 8.1 CVSS Vector String: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N Description: La versione di Zoom Client for Meetings (per Android, iOS, Linux, macOS e Windows) precedente alla 5.10.0 non riesce ad analizzare correttamente le righe di testo XML nei messaggi XMPP. In questo modo, un utente malintenzionato può uscire dal contesto del messaggio XMPP corrente, e creare un nuovo contesto del messaggio per indicare al client dell'utente ricevente di eseguire diverse azioni. Questo problema può essere utilizzato in un attacco più sofisticato per falsificare i messaggi XMPP provenienti dal server. Gli utenti possono mantenere la sicurezza applicando gli aggiornamenti attuali o scaricando il software di Zoom più recente con tutti gli ultimi aggiornamenti sulla sicurezza da https://zoom.us/download. Affected Products: Zoom Client for Meetings (per Android, iOS, Linux, macOS e Windows) precedente alla versione 5.10.0 Source: Segnalazione di Ivan Fratric di Google Project Zero
	ZSB- 22005	04/27/2022	Esposizione della memoria di processo nei servizi riunioni on-premise di Zoom	Critical	CVE-2022-22783
Severity: Critical CVSS Score: 8.3 CVSS Vector String: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N/CR:H Description: Una vulnerabilità del Controller del connettore riunioni on-premise di Zoom versione 4.8.102.20220310 e del Connettore riunioni on-premise MMR versione 4.8.102.20220310 espone frammenti di memoria di processo ai client connessi, che potrebbero essere controllati da un aggressore passivo. Gli utenti possono mantenere la sicurezza applicando gli aggiornamenti attuali o scaricando il software di Zoom più recente con tutti gli ultimi aggiornamenti sulla sicurezza. Affected Products: Controller del Connettore riunioni on-premise di Zoom versione 4.8.102.20220310 Connettore riunioni on-premise Zoom MMR versione 4.8.102.20220310 Source: Team per la sicurezza dagli attacchi di Zoom
	ZSB-22004	04/27/2022	Escalation dei privilegi locali nei Client Windows Zoom	Critical	CVE-2022-22782
Severity: Critical CVSS Score: 7.9 CVSS Vector String: CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:C/C:N/I:H/A:H Description: Zoom Client for Meetings per Windows precedente alla versione 5.9.7, Zoom Rooms per sale conferenze per Windows precedente alla versione 5.10.0, Plug-in Zoom per Microsoft Outlook per Windows precedente alla versione 5.10.3 e Client riunioni VDI Zoom di Windows precedente alla versione 5.9.6 erano soggetti ai problemi di escalation dei privilegi locali durante l'operazione di ripristino del programma di installazione. Un attore malintenzionato potrebbe utilizzarli per eliminare potenzialmente file o cartelle a livello di sistema, causando problemi di integrità o disponibilità sul computer host dell'utente. Gli utenti possono mantenere la sicurezza applicando gli aggiornamenti attuali o scaricando il software di Zoom più recente con tutti gli ultimi aggiornamenti sulla sicurezza da https://zoom.us/download. Affected Products: Tutti gli Zoom Client for Meetings per Windows precedenti alla versione 5.9.7 Tutti le Zoom Rooms per sale conferenze per Windows precedenti alla versione 5.10.0 Tutti i plugin Zoom per Microsoft Outlook per Windows precedenti alla versione 5.10.3 Tutti i Client Meeting Zoom VDI Windows precedenti alla versione 5.9.6 Source: Segnalato da Zero Day Initiative
	ZSB-22003	04/27/2022	Aggiorna pacchetto downgrade in Zoom Client for Meetings per macOS	Critical	CVE-2022-22781
Severity: Critical CVSS Score: 7.5 CVSS Vector String: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H Description: Zoom Client for Meetings macOS (Standard e per amministratori IT) precedente alla versione 5.9.6 non è riuscito a controllare correttamente la versione del pacchetto nel corso del processo di aggiornamento. In questo modo un attore malintenzionato potrebbe aggiornare la versione di un utente ignaro attualmente installata con una meno sicura. Gli utenti possono mantenere la sicurezza applicando gli aggiornamenti attuali o scaricando il software di Zoom più recente con tutti gli ultimi aggiornamenti sulla sicurezza da https://zoom.us/download. Affected Products: Tutti gli Zoom Client for Meetings per macOS (Standard e per amministratori IT) precedenti alla versione 5.9.6 Source: Segnalato da Patrick Wardle di Objective-See
	ZSB-22002	02/08/2022	Zoom Team Chat suscettibile a un attacco di Zip bomb	Medium	CVE-2022-22780
Severity: Medium CVSS Score: 4.7 CVSS Vector String: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:N/I:N/A:L Description: La funzionalità chat di Zoom Client for Meetings era soggetta agli attacchi di Zip bomb nelle seguenti versioni del prodotto: Android prima della versione 5.8.6, iOS prima della versione 5.9.0, Linux prima della versione 5.8.6, macOS prima della versione 5.7.3 e Windows prima della versione 5.6.3. Ciò potrebbe causare problemi di disponibilità nell'host client esaurendo le risorse di sistema. Gli utenti possono mantenere la sicurezza applicando gli aggiornamenti attuali o scaricando il software di Zoom più recente con tutti gli ultimi aggiornamenti sulla sicurezza da https://zoom.us/download. Affected Products: Tutti gli Zoom Client for Meetings per Android precedenti alla prima della versione 5.8.6 Tutti gli Zoom Client for Meetings per iOS prima della versione 5.9.0 Tutti gli Zoom Client for Meetings per Linux prima della versione 5.8.6 Tutti gli Zoom Client for Meetings per macOS prima della versione 5.7.3 Tutti gli Zoom Client for Meetings per Windows prima della versione 5.6.3 Source: Riportato da Johnny Yu di Walmart Global Tech
	ZSB-22001	02/08/2022	Messaggi espansi conservati nei Keybase Client per macOS e Windows	Critical	CVE-2022-22779
Severity: Critical CVSS Score: 3.7 CVSS Vector String: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N Description: I Keybase Client per macOS e Windows precedenti alla versione 5.9.0 non rimuovono correttamente i messaggi espansi avviati da un utente. Ciò può accadere se l'utente ricevente passa a una funzionalità non di chat e sospende l'organizzatore prima che l'utente mittente espanda i messaggi. Ciò potrebbe portare alla divulgazione di informazioni sensibili che erano destinate all'eliminazione dal dispositivo del cliente. Gli utenti possono mantenere la sicurezza applicando gli aggiornamenti attuali o scaricando il software Keybase più recente con tutti gli ultimi aggiornamenti sulla sicurezza da https://keybase.io/download. Affected Products: Tutti i Keybase Client per macOS e Windows prima della versione 5.9.0 Source: Segnalato da Olivia O'Hara
	ZSB-21022	12/14/2021	Esecuzione arbitraria di comandi in Keybase Client per Windows	Medium	CVE-2021-34426
Severity: Medium CVSS Score: 5.3 CVSS Vector String: CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L Description: È stata riscontrata una vulnerabilità nel client Keybase per Windows prima della versione 5.6.0, quando un utente eseguiva il comando "keybase git lfs-config" nella riga di comando. Nelle versioni precedenti la 5.6.0, un attore malintenzionato con accesso in scrittura al repository Git di un utente può sfruttare questa vulnerabilità per eseguire potenzialmente comandi Windows arbitrari sul sistema locale di un utente. Gli utenti possono mantenere la sicurezza applicando gli aggiornamenti attuali o scaricando il software Keybase più recente con tutti gli ultimi aggiornamenti sulla sicurezza da https://keybase.io/download. Affected Products: Tutti i client Keybase per Windows prima della versione 5.6.0 Source: Segnalato da RyotaK
	ZSB-21021	12/14/2021	Contraffazione delle richieste sul lato server nel client Zoom per la chat Meetings	Medium	CVE-2021-34425
Severity: Medium CVSS Score: 4.7 CVSS Vector String: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:N Description: Il Zoom Client for Meetings precedente la versione 5.7.3 (per Android, iOS, Linux, macOS e Windows) contiene una vulnerabilità legata alla contraffazione delle richieste sul lato server nella funzionalità "anteprima link" della chat. Nelle versioni precedenti la 5.7.3, qualora un utente attivasse la funzione "anteprima link" della chat, un attore malintenzionato potrebbe indurre l'utente a inviare potenzialmente delle richieste HTTP GET arbitrarie agli URL che l'attore non può raggiungere direttamente. Gli utenti possono mantenere la sicurezza applicando gli aggiornamenti attuali o scaricando il software di Zoom più recente con tutti gli ultimi aggiornamenti sulla sicurezza da https://zoom.us/download. Affected Products: Tutti i Zoom Client for Meetings (per Android, iOS, Linux, macOS e Windows) prima della versione 5.7.3 Source: Riportato da Johnny Yu di Walmart Global Tech
	ZSB-21020	11/24/2021	Esposizione della memoria di processo in Zoom Client e in altri prodotti	Medium	CVE-2021-34424
Severity: Medium CVSS Score: 5.3 CVSS Vector String: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N Description: È stata rilevata una vulnerabilità nei prodotti elencati nella sezione "Prodotti interessati" del presente bollettino, che potenzialmente consentiva l'esposizione dello stato della memoria di processo. Questo problema potrebbe essere utilizzato per ottenere informazioni potenzialmente dettagliate su aree arbitrarie della memoria del prodotto. Zoom ha risolto questo problema nelle ultime versioni dei prodotti elencati nella sezione seguente. Gli utenti possono mantenere la sicurezza applicando gli aggiornamenti attuali o scaricando il software di Zoom più recente con tutti gli ultimi aggiornamenti sulla sicurezza. Affected Products: Zoom Client for Meetings (per Android, iOS, Linux, macOS e Windows) prima della versione 5.8.4 Zoom Client for Meetings per BlackBerry (Android e iOS) prima della versione 5.8.1 Zoom Client for Meetings per intune (Android e iOS) prima della versione 5.8.4 Zoom Client for Meetings per Chrome OS prima della versione 5.0.1 Zoom Rooms per sala conferenze (per Android, AndroidBali, macOS e Windows) prima della versione 5.8.3 Controller per Zoom Rooms (per Android, iOS e Windows) prima della versione 5.8.3 Client Zoom VDI Windows Meeting prima della versione 5.8.4 Plug-in Zoom VDI per desktop virtuale Azure (per Windows x86 o x64, IGEL x64, Ubuntu x64, HP ThinPro OS x64) prima della versione 5.8.4.21112 Plugin Zoom VDI per Citrix (per Windows x86 o x64, programma di installazione e disinstallazione universale per Mac, IGEL x64, eLux RP6 x64, HP ThinPro OS x64, Ubuntu x64, CentOS x 64, Dell ThinOS) prima della versione 5.8.4.21112 Plugin Zoom VDI per VMware (per Windows x86 o x64, programma di installazione e disinstallazione universale per Mac, IGEL x64, eLux RP6 x64, HP ThinPro OS x64, Ubuntu x64, CentOS x 64, Dell ThinOS) prima della versione 5.8.4.21112 SDK Zoom Meeting per Android prima della versione 5.7.6.1922 SDK Zoom Meeting per iOS prima della versione 5.7.6.1082 SDK Zoom Meeting per Windows prima della versione 5.7.6.1081 SDK Zoom Meeting per Mac prima della versione 5.7.6.1340 SDK Zoom Video (per Android, iOS, macOS e Windows) prima della versione 1.1.2 Connettore riunioni on-premise Zoom prima della versione 4.8.12.20211115 Connettore riunioni on-premise Zoom MMR prima della versione 4.8.12.20211115 Connettore registrazione on-premise Zoom prima della versione 5.1.0.65.20211116 Connettore sale virtuali on-premise Zoom prima della versione 4.4.7266.20211117 Connettore sale virtuali on-premise Zoom Load Balancer prima della versione 2.5.5692.20211117 Zproxy Zoom Hybrid prima della versione 1.0.1058.20211116 MMR Zoom Hybrid prima della versione 4,6.20211116,131_x86-64 Source: Riportato da Natalie Silvanovich di Google Project Zero
	ZSB-21019	11/24/2021	Buffer overflow in Zoom desktop client e altri prodotti	Critical	CVE-2021-34423
Severity: Critical CVSS Score: 7.3 CVSS Vector String: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L Description: È stata rilevata una vulnerabilità legata a un buffer overflow nei prodotti elencati nella sezione "Prodotti interessati" del presente bollettino. Questo può consentire a un attore malintenzionato di arrestare il servizio o l'applicazione, o di sfruttare questa vulnerabilità per eseguire arbitrariamente del codice. Zoom ha risolto questo problema nelle ultime versioni dei prodotti elencati nella sezione seguente. Gli utenti possono mantenere la sicurezza applicando gli aggiornamenti attuali o scaricando il software di Zoom più recente con tutti gli ultimi aggiornamenti sulla sicurezza. Affected Products: Zoom Client for Meetings (per Android, iOS, Linux, macOS e Windows) prima della versione 5.8.4 Zoom Client for Meetings per BlackBerry (Android e iOS) prima della versione 5.8.1 Zoom Client for Meetings per intune (Android e iOS) prima della versione 5.8.4 Zoom Client for Meetings per Chrome OS prima della versione 5.0.1 Zoom Rooms per sala conferenze (per Android, AndroidBali, macOS e Windows) prima della versione 5.8.3 Controller per Zoom Rooms (per Android, iOS e Windows) prima della versione 5.8.3 Client Zoom VDI Windows Meeting prima della versione 5.8.4 Plug-in Zoom VDI per desktop virtuale Azure (per Windows x86 o x64, IGEL x64, Ubuntu x64, HP ThinPro OS x64) prima della versione 5.8.4.21112 Plugin Zoom VDI per Citrix (per Windows x86 o x64, programma di installazione e disinstallazione universale per Mac, IGEL x64, eLux RP6 x64, HP ThinPro OS x64, Ubuntu x64, CentOS x 64, Dell ThinOS) prima della versione 5.8.4.21112 Plugin Zoom VDI per VMware (per Windows x86 o x64, programma di installazione e disinstallazione universale per Mac, IGEL x64, eLux RP6 x64, HP ThinPro OS x64, Ubuntu x64, CentOS x 64, Dell ThinOS) prima della versione 5.8.4.21112 SDK Zoom Meeting per Android prima della versione 5.7.6.1922 SDK Zoom Meeting per iOS prima della versione 5.7.6.1082 SDK Zoom Meeting per MacOS prima della versione 5.7.6.1340 SDK Zoom Meeting per Windows prima della versione 5.7.6.1081 SDK Zoom Video (per Android, iOS, macOS e Windows) prima della versione 1.1.2 Controller del Connettore riunioni Zoom On-Premise prima della versione 4.8.12.20211115 Connettore riunioni on-premise Zoom MMR prima della versione 4.8.12.20211115 Connettore registrazione on-premise Zoom prima della versione 5.1.0.65.20211116 Connettore sale virtuali on-premise Zoom prima della versione 4.4.7266.20211117 Connettore sale virtuali on-premise Zoom Load Balancer prima della versione 2.5.5692.20211117 Zproxy Zoom Hybrid prima della versione 1.0.1058.20211116 MMR Zoom Hybrid prima della versione 4,6.20211116,131_x86-64 Source: Fonte: Riportato da Natalie Silvanovich di Google Project Zero
	ZSB-21018	11/09/2021	Path traversal dei nomi dei file in Keybase Client per Windows	Critical	CVE-2021-34422
Severity: Critical CVSS Score: 7.2 CVSS Vector String: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N Description: Keybase Client per Windows prima della versione 5.7.0 contiene una vulnerabilità path traversal quando si controlla il nome di un file caricato in una cartella del team. Un utente malintenzionato potrebbe caricare un file in una cartella condivisa con un nome di file creato in modo da consentire a un utente di eseguire un'applicazione non prevista sul computer ospite. Se un utente malintenzionato ha sfruttato questo problema con la funzionalità di condivisione delle cartelle pubbliche di Keybase Client, questo potrebbe portare all'esecuzione di codice in modalità remota. Keybase ha affrontato questo problema nella versione 5.7.0 di Keybase Client per Windows. Gli utenti possono mantenere la sicurezza applicando gli aggiornamenti attuali o scaricando il software Keybase più recente con tutti gli ultimi aggiornamenti sulla sicurezza da https://keybase.io/download. Affected Products: Keybase Client per Windows prima della versione 5.7.0 Source: Riportato da m4t35z
	ZSB-21017	11/09/2021	Messaggi espansi conservati in Keybase Client per Android e iOS	Critical	CVE-2021-34421
Severity: Critical CVSS Score: 3.7 CVSS Vector String: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N Description: Keybase Client per Android prima della versione 5.8.0 e Keybase Client per iOS prima della versione 5.8.0 non riescono a rimuovere correttamente i messaggi espansi avviati da un utente, se l'utente ricevente mette in background la sessione di chat di testo mentre l'utente mittente espande i messaggi. Questo potrebbe portare alla divulgazione di informazioni sensibili che erano destinate a essere eliminate dal dispositivo del cliente. Keybase ha risolto questo problema nelle versioni 5.8.0 di Keybase Client per Android e 5.8.0 di Keybase Client per iOS. Gli utenti possono mantenere la sicurezza applicando gli aggiornamenti attuali o scaricando il software Keybase più recente con tutti gli ultimi aggiornamenti sulla sicurezza da https://keybase.io/download. Affected Products: Tutti i Keybase Client per Android prima della versione 5.8.0 Tutti i Keybase Client per iOS prima della versione 5.8.0 Source: Riportato da Olivia o'Hara, John Jackson, Jackson Henry e Robert Willis
	ZSB-21016	11/09/2021	Firma dell'eseguibile di installazione di Zoom per Windows ignorata	Medium	CVE-2021-34420
Severity: Medium CVSS Score: 4.7 CVSS Vector String: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:N/I:L/A:N Description: Il programma di installazione del Zoom Client for Meetings per Windows prima della versione 5.5.4 non verifica correttamente la firma dei file con estensione .msi, .ps1 e .bat. Questo potrebbe causare l'installazione di software dannoso sul computer di un cliente da parte di un attore malintenzionato. Zoom ha affrontato questo problema nella versione 5.5.4 del Zoom Client for Meetings per Windows. Gli utenti possono mantenere la sicurezza applicando gli aggiornamenti attuali o scaricando il software di Zoom più recente con tutti gli ultimi aggiornamenti sulla sicurezza da https://zoom.us/download. Affected Products: Tutti i Zoom Client for Meetings per Windows prima della versione 5.5.4 Source: Riportato da Laurent Delosieres di ManoMano
	ZSB-21015	11/09/2021	Inserimento di HTML in Zoom Client per Linux	Critical	CVE-2021-34419
Severity: Critical CVSS Score: 3.7 CVSS Vector String: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N Description: Nel Zoom Client for Meetings per Ubuntu Linux prima della versione 5.1.0, si è verificato un errore di iniezione HTML quando si invia una richiesta di controllo remoto a un utente nel processo di condivisione dello schermo durante la riunione. Questo potrebbe consentire ai partecipanti alla riunione di essere oggetto di attacchi di social engineering. Zoom ha risolto questo problema nella versione 5.1.0 del Zoom Client for Meetings per Ubuntu Linux. Gli utenti possono mantenere la sicurezza applicando gli aggiornamenti attuali o scaricando il software di Zoom più recente con tutti gli ultimi aggiornamenti sulla sicurezza da https://zoom.us/download Affected Products: Zoom Client for Meetings per Ubuntu Linux prima della versione 5.1.0 Source: Riportato da Danny de Weille e Rick Verdoes di hackdefense
	ZSB-21014	11/09/2021	Crash del puntatore pre-auth null nella console web on-premise	Medium	CVE-2021-34418
Severity: Medium CVSS Score: 4.0 CVSS Vector String: CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L Description: Il servizio di accesso alla console Web per i prodotti elencati nella sezione "Prodotti interessati" del presente bollettino non convalida l'invio di un byte NULL durante l'autenticazione. Questo potrebbe causare un arresto anomalo del servizio di accesso. Affected Products: Controller del Connettore riunioni Zoom On-Premise prima della versione 4.6.239.20200613 Connettore riunioni on-premise Zoom MMR prima della versione 4.6.239.20200613 Connettore registrazione on-premise Zoom prima della versione 3.8.42.20200905 Connettore sale virtuali on-premise Zoom prima della versione 4.4.6344.20200612 Connettore sale virtuali on-premise Zoom Load Balancer prima della versione 2.5.5492.20200616 Source: Riportato da Jeremy Brown
	ZSB-21013	11/09/2021	Esecuzione di comandi remoti autenticati con privilegi root tramite console Web in MMR	Critical	CVE-2021-34417
Severity: Critical CVSS Score: 7.9 CVSS Vector String: CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:N Description: La pagina del proxy di rete sul web portal per i prodotti elencati nella sezione "Prodotti interessati" del presente bollettino non convalida l'input inviato nelle richieste di impostazione della password del proxy di rete. Questo potrebbe causare l'inserimento di comandi remoti da parte di un amministratore del web portal. Affected Products: Controller del Connettore riunioni Zoom On-Premise prima della versione 4.6.365.20210703 Connettore riunioni on-premise Zoom MMR prima della versione 4.6.365.20210703 Connettore registrazione on-premise Zoom prima della versione 3.8.45.20210703 Connettore sale virtuali on-premise Zoom prima della versione 4.4.6868.20210703 Connettore sale virtuali on-premise Zoom Load Balancer prima della versione 2.5.5496.20210703 Source: Riportato da Jeremy Brown
	ZSB-21012	09/30/2021	Esecuzione di codice in modalità remota sulle immagini On-Prem tramite portale web	Medium	CVE-2021-34416
Severity: Medium CVSS Score: 5.5 CVSS Vector String: CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:C/C:L/I:L/A:N Description: Il web portal delle impostazioni di amministrazione degli indirizzi di rete per il Connettore riunioni on-premise di Zoom prima della versione 4.6.360.20210325, il Connettore riunioni MMR on-premise di Zoom prima della versione 4.6.360.20210325, il Connettore registrazione on-premise di Zoom prima della versione 3.8.44.20210326, il Connettore sala virtuale on-premise di Zoom prima della versione 4.4.6752.20210326 e il Connettore sala virtuale on-premise Load Balancer di Zoom prima della versione 2.5.5495.20210326 non riesce a convalidare l'input inviato nelle richieste di aggiornamento della configurazione di rete, il che potrebbe portare all'inserimento di comandi remoti sull'immagine on-premise da parte degli amministratori del web portal. Affected Products: Connettori riunioni on-premise di Zoom prima della versione 4.6.360.20210325 Connettore riunioni on-premise Zoom MMR prima della versione 4.6.360.20210325 Connettore registrazioni on-premise Zoom prima della versione 3.8.44.20210326 Connettore Zoom on-premise per sale virtuali prima della versione 4.4.6752.20210326 Connettore sale virtuali on-premise Zoom Load Balancer prima della versione 2.5.5495.20210326 Source: Segnalato da Egor Dimitrenko di Positive Technologies
	ZSB-21011	09/30/2021	ZC si blocca utilizzando una PDU che causa molte allocazioni	Critical	CVE-2021-34415
Severity: Critical CVSS Score: 7.5 CVSS Vector String: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H Description: Il servizio del Controller di zona nel controller del Connettore riunioni on-premise di Zoom prima della versione 4.6.358.20210205 non verifica il campo cnt inviato nei pacchetti di rete in entrata, portando all'esaurimento delle risorse e al blocco del sistema. Affected Products: Controller del Connettore riunioni Zoom On-Premise prima della versione 4.6.358.20210205 Source: Riportato da Nikita Abramov di Positive Technologies
	ZSB-21010	09/30/2021	Esecuzione di codice in modalità remota sul server Connettore riunioni tramite configurazione del proxy di rete WebPortal	Medium	CVE-2021-34414
Severity: Medium CVSS Score: 7.2 CVSS Vector String: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H Description: La pagina del proxy di rete nel web portal per il controller del Connettore riunioni on-premise di Zoom prima della versione 4.6.348.20201217, il Connettore riunioni MMR on-premise di Zoom prima della versione 4.6.348.20201217, il Connettore registrazione on-premise di Zoom prima della versione 3.8.42.20200905, il Connettore sala virtuale on-premise di Zoom prima della versione 4.4.6620.20201110 e il Connettore sala virtuale on-premise Load Balancer di Zoom prima della versione 2.5.5495.20210326 non riesce a convalidare l'input inviato nelle richieste di aggiornamento della configurazione di rete, il che potrebbe portare all'inserimento di comandi remoti sull'immagine on-premise da parte di un amministratore del web portal. Affected Products: Controller del Connettore riunioni on-premise di Zoom prima della versione 4.6.348.20201217 Connettore riunioni on-premise Zoom MMR prima della versione 4.6.348.20201217 Connettore registrazione on-premise Zoom prima della versione 3.8.42.20200905 Connettore Zoom on-premise per sale virtuali prima della versione 4.4.6620.20201110 Connettore sale virtuali on-premise Zoom Load Balancer prima della versione 2.5.5495.20210326 Source: Segnalato da Egor Dimitrenko di Positive Technologies
	ZSB-21009	09/30/2021	Escalation dei privilegi locali del programma di installazione del Plugin Zoom macOS per Outlook	Critical	CVE-2021-34413
Severity: Critical CVSS Score: 2.8 CVSS Vector String: CVSS:3.0/AV:L/AC:H/PR:L/UI:N/S:C/C:N/I:L/A:N Description: Tutte le versioni del Plugin Zoom per Microsoft Outlook per macOS precedenti alla versione 5.3.52553.0918 contengono una vulnerabilità legata al tempo di controllo/tempo di utilizzo (TOC/TOU) durante il processo di installazione del plug-in. Questo potrebbe consentire a un utente standard di scrivere una propria applicazione dannosa nella directory del plug-in, consentendo l'esecuzione dell'applicazione dannosa in un contesto privilegiato. Affected Products: Tutte le versioni del Plugin Zoom per Microsoft Outlook per macOS precedenti alla versione 5.3.52553.0918 Source: Grazie al Red Team di Lockheed Martin
	ZSB-21008	09/30/2021	Escalation dei privilegi locali del programma di installazione di Zoom for Windows	Medium	CVE-2021-34412
Severity: Medium CVSS Score: 4.4 CVSS Vector String: CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N Description: Durante il processo di installazione di tutte le versioni del Zoom Client for Meetings per Windows prima della versione 5.4.0, è possibile avviare Internet Explorer. Se il programma di installazione è stato avviato con privilegi elevati, ad esempio da SCCM, può verificarsi un'escalation dei privilegi locali. Gli utenti possono mantenere la sicurezza applicando gli aggiornamenti attuali o scaricando il software di Zoom più recente con tutti gli ultimi aggiornamenti sulla sicurezza da https://zoom.us/download. Affected Products: Zoom Client for Meetings per Windows prima della versione 5.4.0 Source: Grazie al Red Team di Lockheed Martin
	ZSB-21007	09/30/2021	Escalation di privilegi locali di Zoom Rooms Installer	Medium	CVE-2021-34411
Severity: Medium CVSS Score: 4.4 CVSS Vector String: CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N Description: Durante il processo di installazione di Zoom Rooms per sala conferenze per Windows prima della versione 5.3.0 è possibile avviare Internet Explorer con privilegi elevati. Se il programma di installazione è stato avviato con privilegi elevati, ad esempio da SCCM, può verificarsi un'escalation dei privilegi locali. Gli utenti possono mantenere la sicurezza applicando gli aggiornamenti attuali o scaricando il software di Zoom più recente con tutti gli ultimi aggiornamenti sulla sicurezza da https://zoom.us/download. Affected Products: Zoom Rooms per sala conferenze per Windows prima della versione 5.3.0 Client Mac precedenti alla versione 4.1.34475.1105 Zoom Rooms per conferenze prima della versione 5.1.0 Source: Grazie al Red Team di Lockheed Martin
	ZSB-21004	09/30/2021	Programma di installazione MSI di Zoom elevato in scrittura utilizzando una junction	Critical	CVE-2021-34408
Severity: Critical CVSS Score: 7.0 CVSS Vector String: CVSS:3.0/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H Description: Una directory scrivibile dall'utente creata durante l'installazione del Zoom Client for Meetings per Windows precedente alla versione 5.3.2 può essere reindirizzata in un'altra posizione utilizzando una junction. In questo modo, un utente malintenzionato potrebbe sovrascrivere i file che un utente con limitazioni non sarebbe in grado di modificare. Gli utenti possono mantenere la sicurezza applicando gli aggiornamenti attuali o scaricando il software di Zoom più recente con tutti gli ultimi aggiornamenti sulla sicurezza da https://zoom.us/download. Affected Products: Zoom Client for Meetings per Windows prima della versione 5.3.2 Source: Grazie al Red Team di Lockheed Martin
	ZSB-21003	09/30/2021	Firma digitale del programma di installazione di Zoom per Windows ignorata	Critical	CVE-2021-33907
Severity: Critical CVSS Score: 7.0 CVSS Vector String: CVSS:3.0/AV:L/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:H/CR:H/IR:H/AR:H/MAV:L/MAC:H/MPR:N/MUI:R/MS:U/MC:H/MI:H/MA:H Description: Il Zoom Client for Meetings per Windows in tutte le versioni precedenti alla 5.3.0 non convalida correttamente le informazioni del certificato utilizzate per firmare i file .msi quando si esegue un aggiornamento del client. Questo potrebbe portare all'esecuzione di codice in modalità remota in un contesto con privilegi elevati. Gli utenti possono mantenere la sicurezza applicando gli aggiornamenti attuali o scaricando il software di Zoom più recente con tutti gli ultimi aggiornamenti sulla sicurezza da https://zoom.us/download. Affected Products: Tutte le versioni desktop dei Zoom Client for Meetings prima della 5.3.0 Source: Grazie al Red Team di Lockheed Martin
	ZSB-21002	08/13/2021	Scrittura heap overflow da buffer statico deselezionata dal messaggio XMPP	Critical	CVE-2021-30480
Severity: Critical CVSS Score: 8.1 CVSS Vector String: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H/CR:H/IR:H/AR:H/MAV:N/MAC:H/MPR:N/MUI:N/MS:U/MC:H/MI:H/MA:H Description: Prima della versione 5.6.3 esiste un buffer overflow basato su heap in tutte le versioni desktop dei Zoom Client for Meetings. Questo è stato segnalato a Zoom nell'ambito di come parte del Pwn20wn Vancouver 2021. La catena di attacco dimostrata durante il Pwn20wn è stata attenuata da una modifica sul lato server dell'infrastruttura Zoom, il 9/4/2021. Quando è combinata con altri due problemi segnalati durante il Pwn20wn - errata convalida URL quando si invia un messaggio XMPP per accedere all'URL di un'app Zoom Marketplace e convalida URL non corretta durante la visualizzazione di un'immagine GIPHY - un utente malintenzionato può attivare l'esecuzione di codice in modalità remota su un computer bersaglio. Perché questo attacco abbia successo, il bersaglio deve avere precedentemente accettato una richiesta di connessione da parte di un utente malintenzionato o essere in una chat multiutente con l'utente malintenzionato. La catena di attacco dimostrata in Pwn20wn può essere altamente visibile ai bersagli, poiché causa molteplici notifiche al client. Gli utenti possono mantenere la sicurezza applicando gli aggiornamenti attuali o scaricando il software di Zoom più recente con tutti gli ultimi aggiornamenti sulla sicurezza da https://zoom.us/download. Affected Products: Tutte le versioni desktop dei Zoom Client for Meetings prima della 5.6.3 Source: Segnalato da Daan Keuper e Thijs Alkemade di Computest, attraverso la Zero Day Initiative
	ZSB-21001	03/26/2021	Finestra dell’applicazione funzionalità di Condivisione dello schermo	Medium	CVE-2021-28133
Severity: Medium CVSS Score: 5,7 CVSS Vector String: CVSS:3.0/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:N/A:N Description: Una vulnerabilità ha colpito la funzionalità di condivisione dello schermo di Zoom Windows e dei client Linux durante la condivisione delle finestre delle singole applicazioni, in cui il contenuto dello schermo delle applicazioni, che non è esplicitamente condiviso dagli utenti che condividono lo schermo può essere visualizzato da altri partecipanti alla riunione per breve tempo se la persona che "condivide" ha ridotto a icona, ingrandito o chiuso un'altra finestra. Zoom ha introdotto diversi nuovi metodi di attenuazione dei rischi di sicurezza nella versione 5.6 di Zoom Client per Windows che riducono le probabilità che questo problema si verifichi in futuro per gli utenti di Windows. Stiamo continuando a lavorare su ulteriori misure per risolvere questo problema in tutte le piattaforme interessate. Zoom ha risolto anche il problema per gli utenti Ubuntu l’1 marzo 2021 nella versione 5.5.4 dello Zoom Client per Linux. Gli utenti possono applicare gli attuali aggiornamenti o scaricare la versione più recente del software di Zoom con tutti gli ultimi aggiornamenti sulla sicurezza da https://zoom.us/download. Affected Products: Tutte le versioni dello Zoom Client per Windows Versioni di Zoom desktop client per Linux precedenti alla 5.5.4 su Ubuntu Tutte le versioni dei Client Linux su altre distribuzioni supportate Source: Scoperto da Michael Stramez e Matthias Deeg.
	ZSB-20002	08/14/2020	DLL di Windows nel servizio di condivisione di Zoom	Critical	CVE-2020-9767
Severity: Critical CVSS Score: 7.8 CVSS Vector String: CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H Description: Una vulnerabilità correlata alla libreria a collegamento dinamico ("DLL") in corso nel servizio di condivisione di Zoom potrebbe consentire a un utente di Windows locale di acquisire privilegi più elevati di quelli previsti per un utente NT AUTHORITY/SYSTEM. La vulnerabilità è dovuta alle verifiche insufficienti delle firme delle DLL caricate dinamicamente durante il caricamento di un file eseguibile firmato. Un utente malintenzionato potrebbe sfruttare questa vulnerabilità mediante l’inserimento di una DLL pericolosa nella firma di un file eseguibile di Zoom e utilizzarla per avviare processi con autorizzazioni di livello elevato. Zoom ha affrontato questo problema nella versione client 5.0.4. Gli utenti possono mantenere la sicurezza applicando gli aggiornamenti attuali o scaricando il software di Zoom più recente con tutti gli ultimi aggiornamenti sulla sicurezza da https://zoom.us/download. Affected Products: Zoom Windows installer (ZoomInstallerFull.msi) per le versioni precedenti alla 5.0.4 Source: Connor Scott di Context Information Security
	ZSB-20001	05/04/2020	Zoom IT Installer per Windows	Critical	CVE-2020-11443
Severity: Critical CVSS Score: Base: 8.4 CVSS Vector String: CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:C/C:N/I:H/A:H Description: Una vulnerabilità nella modalità in cui il programma di installazione di Zoom Windows gestisce le giunzioni durante l’eliminazione dei file potrebbe consentire a un utente Windows locale di eliminare file altrimenti non eliminabili dall'utente. La vulnerabilità è dovuta a una verifica insufficiente delle giunzioni nella directory da cui il programma di installazione elimina i file, che è scrivibile da utenti standard. Un utente locale malintenzionato potrebbe sfruttare questa vulnerabilità creando una giunzione nella directory interessata che punta ai file di sistema protetti o agli altri file a cui l'utente non è autorizzato ad accedere. Al momento dell'esecuzione del programma di installazione di Zoom Windows con autorizzazioni elevate, come quando viene avviato attraverso un software di installazione gestita, quei file verrebbero eliminati dal sistema. Zoom ha affrontato questo problema nella versione client 4.6.10. Gli utenti possono mantenere la sicurezza applicando gli aggiornamenti attuali o scaricando il software di Zoom più recente con tutti gli ultimi aggiornamenti sulla sicurezza da https://zoom.us/download. Affected Products: Zoom Windows installer (ZoomInstallerFull.msi) per le versioni precedenti alla 4.6.10 Source: Grazie al Lockheed Martin Red Team.
	ZSB-19003	07/12/2019	ZoomOpener daemon	Critical	CVE-2019-13567
Severity: Critical CVSS Score: Base: 7.5 CVSS Vector String: CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H Description: Una vulnerabilità in Zoom desktop client per macOS potrebbe consentire a un malintenzionato di scaricare un software dannoso per il dispositivo della vittima. La vulnerabilità è dovuta alle validazioni errate degli input e del software scaricato nell’applicazione ZoomOpener. Un utente malintenzionato potrebbe sfruttare la vulnerabilità per avviare il download dei file dal dispositivo di una vittima per suo conto. Lo sfruttamento di questa vulnerabilità può avvenire solo se la vittima ha precedentemente disinstallato il Zoom desktop client. Zoom ha affrontato questo problema nella versione client 4.4.52595.0425. Gli utenti possono mantenere la sicurezza applicando gli aggiornamenti attuali o scaricando il software di Zoom più recente con tutti gli ultimi aggiornamenti sulla sicurezza da https://zoom.us/download. Affected Products: Versioni Zoom desktop client per macOS precedenti alla 4.4.52595.0425 e successive alla 4.1.27507.0627 Source: Sconosciuto.
	ZSB-19002	07/09/2019	Impostazione video predefinita	Critical	CVE-2019-13450
Severity: Critical CVSS Score: Base: 3.1 CVSS Vector String: CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N Description: Una vulnerabilità in Zoom desktop client per macOS e nel client RingCentral potrebbe consentire a un utente remoto, malintenzionato e non autenticato di costringere un utente a partecipare a una videochiamata con la videocamera attiva. La vulnerabilità è dovuta a insufficienti controlli di autorizzazione per verificare quali sistemi possono comunicare con il server locale di Zoom in esecuzione sulla porta 19421. Un utente malintenzionato può sfruttare questa vulnerabilità creando un sito web dannoso che fa sì che il cliente di Zoom partecipi automaticamente a una riunione creata dall'utente malintenzionato. Nella versione Client 4.4.5 pubblicata il 14 luglio 2019, Zoom ha realizzato una nuova finestra di anteprima video che viene mostrata all'utente prima di partecipare a una riunione. Questa finestra di dialogo consente all'utente di partecipare alla riunione con o senza video abilitato e richiede all'utente di impostare il comportamento predefinito che desidera per il video. Zoom esorta i clienti a installare le ultime versioni di Zoom Client disponibili su https://zoom.us/download. Affected Products: Versioni di Zoom desktop client per macOS precedenti alla 4.4.5 Versioni del Client RingCentral per macOS precedenti alla 4.4.5 Source: Scoperto da Jonathan Leitschuh.
	ZSB-19001	07/09/2019	Attacco denial of service: macOS	Critical	CVE-2019-13449
Severity: Critical CVSS Score: Base: 3.1 CVSS Vector String: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H Description: Una vulnerabilità in Zoom desktop client per macOS potrebbe consentire a un utente remoto, non autenticato e malintenzionato di attivare una condizione denial of service sul sistema della vittima. La vulnerabilità è dovuta a insufficienti controlli di autorizzazione per verificare quali sistemi possono comunicare con il server locale di Zoom in esecuzione sulla porta 19421. Un utente malintenzionato può sfruttare questa vulnerabilità creando un sito web dannoso che fa sì che il cliente di Zoom provi più volte a partecipare a una riunione con un ID riunione non valido. Il ciclo infinito fa sì che lo Zoom desktop client non sia funzionante e può avere un impatto sulle prestazioni del sistema su cui è in esecuzione. Per affrontare questo problema, Zoom ha rilasciato la versione 4.4.2-hotfix del client per macOS il 28 aprile 2019. Gli utenti possono mantenere la sicurezza applicando gli aggiornamenti attuali o scaricando il software di Zoom più recente con tutti gli ultimi aggiornamenti sulla sicurezza da https://zoom.us/download. Affected Products: Versioni di Zoom desktop client per macOS precedenti alla 4.4.5 Versioni del Client RingCentral per macOS precedenti alla 4.4.5 Source: Scoperto da Jonathan Leitschuh.
No results found

Abbonati per gli aggiornamenti

Per ricevere la notifica dei futuri bollettini di sicurezza Zoom, forniscici un l'indirizzo e-mail personale. (Attenzione: le e-mail con pseudonimi non riceveranno tali notifiche).