TRUST CENTER SECURITY, PRIVACY BLOGS ADDITIONAL RESOURCES

보안 게시판

Severity All
  • Severity All
  • High
  • Medium
  • Low
CVE All
  • CVE All
  • CVE-2021-28133
  • CVE-2020-9767
  • CVE-2020-11443
  • CVE-2019-13567
  • CVE-2019-13450
  • CVE-2019-13449
  • CVE-2018-15715
Search

보안 게시판

ZSB Date Title Severity CVE (if applicable)
ZSB-21001 03/26/2020 애플리케이션 창 화면 공유 기능 보통 CVE-2021-28133

Severity: 보통

CVSS Score: 5.7

CVSS Vector String: CVSS:3.0/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:N/A:N

Description: 개별 애플리케이션 창을 공유할 때 Zoom Windows 및 Linux Client의 화면 공유 기능에 영향을 미치는 취약점으로 인해 "공유자"가 다른 창을 최소화하거나 최대화하거나 닫을 경우 화면을 공유 중인 사용자가 명시적으로 공유하지 않은 애플리케이션의 화면 콘텐츠가 다른 미팅 참가자에게 잠시 보이지 않을 수 있습니다.

Zoom은 Windows 사용자에게 이러한 문제가 발생할 가능성을 낮춰주는 몇 가지 새로운 보안 완화책을 Zoom Windows Client 5.6 버전에 도입했습니다. 또한 영향을 받는 모든 플랫폼에서 이 문제를 해결하기 위해 추가 조치를 지속적으로 모색하고 있습니다.

Zoom은 2020년 3월 1일에 Zoom Linux Client 5.5.4 버전에서 Ubuntu 사용자에게 발생하던 문제도 해결했습니다. 사용자는 https://zoom.us/download에서 제공되는 모든 최신 보안 업데이트를 통해 최신 업데이트를 적용하거나 최신 Zoom 소프트웨어를 다운로드할 수 있습니다.

Affected Products:

  • 모든 Windows Zoom Client 버전
  • Ubuntu의 Linux Zoom Client 5.5.4 이전 버전
  • 기타 지원되는 배포의 모든 Linux Client 버전

Source: Michael Stramez 및 Matthias Deeg가 발견했습니다.

ZSB-20002 08/14/2020 Zoom Sharing Service의 Windows DLL 높음 CVE-2020-9767

Severity: 높음

CVSS Score: 7.8

CVSS Vector String: CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Description: Zoom Sharing Service에서 로드되는 동적 연결 라이브러리("DLL")와 관련된 취약점으로 인해 로컬 Windows 사용자가 NT AUTHORITY/SYSTEM 사용자로 권한을 에스컬레이션할 수 있습니다.

이 취약점은 서명된 실행 파일 로드 시 동적으로 로드된 DLL의 서명 확인이 불충분하여 발생합니다. 공격자는 서명된 Zoom 실행 파일에 악성 DLL을 삽입하고 이를 사용해 승격된 권한으로 프로세스를 실행하여 이 취약점을 악용할 수 있습니다.

Zoom은 5.0.4 클라이언트 릴리스에서 이 문제를 해결했습니다. 사용자는 https://zoom.us/download에서 제공되는 모든 최신 보안 업데이트를 통해 최신 업데이트를 적용하거나 최신 Zoom 소프트웨어를 다운로드해 자신을 보호할 수 있습니다.

Affected Products:

  • Zoom Windows 설치 프로그램(ZoomInstallerFull.msi) 5.0.4 이전 버전

Source: Context Information Security의 Connor Scott

ZSB-20001 05/04/2020 Windows용 Zoom IT 설치 프로그램 높음 CVE-2020-11443

Severity: 높음

CVSS Score: 최저: 8.4

CVSS Vector String: CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:C/C:N/I:H/A:H

Description: 파일을 삭제할 때 Zoom Windows 설치 프로그램이 연결을 처리하는 방식에 취약점이 있어 로컬 Windows 사용자가 다른 방법으로는 삭제할 수 없었을 파일을 삭제할 수 있습니다.

이 취약점은 설치 프로그램이 표준 사용자가 쓸 수 있는 파일을 삭제하는 디렉터리에서 연결에 대한 확인이 불충분하여 발생합니다. 악의적인 로컬 사용자는 보호되는 시스템 파일 또는 사용자가 권한을 보유하고 있지 않은 다른 파일을 가리키는, 영향을 받는 디렉터리에서 연결을 만들어 이 취약점을 악용할 수 있습니다. 승격된 권한으로 Zoom Windows 설치 프로그램을 실행하면 관리형 배포 소프트웨어를 통해 실행되는 경우와 마찬가지로 해당 파일이 시스템에서 삭제됩니다.

Zoom은 4.6.10 클라이언트 릴리스에서 이 문제를 해결했습니다. 사용자는 https://zoom.us/download에서 제공되는 모든 최신 보안 업데이트를 통해 최신 업데이트를 적용하거나 최신 Zoom 소프트웨어를 다운로드해 자신을 보호할 수 있습니다.

Affected Products:

  • Zoom Windows 설치 프로그램(ZoomInstallerFull.msi) 4.6.10 이전 버전

Source: Lockheed Martin Red Team

ZSB-19003 07/12/2019 ZoomOpener 디먼 높음 CVE-2019-13567

Severity: 높음

CVSS Score: 최저: 7.5

CVSS Vector String: CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H

Description: Zoom MacOS Client의 취약점으로 인해 공격자는 공격 대상자의 기기에 악성 소프트웨어를 다운로드할 수 있습니다.

이 취약점은 ZoomOpener 도우미 애플리케이션에 다운로드된 소프트웨어에 대한 입력 유효성 검사 및 유효성 검사가 부적절하여 발생합니다. 공격자는 이 취약점을 악용해 공격 대상자의 기기가 공격자를 대신해 파일을 다운로드하도록 유도할 수 있습니다. 이 악용은 공격 대상자가 이전에 Zoom Client를 설치 제거한 경우에만 성공할 수 있습니다.

Zoom은 4.4.52595.0425 클라이언트 릴리스에서 이 문제를 해결했습니다. 사용자는 https://zoom.us/download에서 제공되는 모든 최신 보안 업데이트를 통해 최신 업데이트를 적용하거나 최신 Zoom 소프트웨어를 다운로드해 자신을 보호할 수 있습니다.

Affected Products:

  • Zoom MacOS Client 4.4.52595.0425 이전 버전 및 4.1.27507.0627 이후 버전

Source: 알 수 없음

ZSB-19002 07/09/2019 기본 비디오 설정 낮음 CVE-2019-13450

Severity: 낮음

CVSS Score: 최저: 3.1

CVSS Vector String: CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N

Description: MacOS Zoom 및 RingCentral Client의 취약점으로 인해 인증되지 않은 원격 공격자가 사용자가 활성 상태인 비디오 카메라로 비디오 통화에 강제로 참여하게 할 수 있습니다.

이 취약점은 포트 19421에서 실행되는 로컬 Zoom Web 서버와 통신할 수 있는 시스템을 확인하는 권한 부여 제어가 불충분하여 발생합니다. 공격자는 공격자가 설정한 미팅에 Zoom Client가 자동으로 참여하게 만드는 악성 웹 사이트를 만들어 이 취약점을 악용할 수 있습니다.

Zoom은 2019년 7월 14일에 게시된 Client 4.4.5 버전에서 미팅에 참여하기 전에 사용자에게 표시되는 새로운 비디오 미리 보기 대화 상자를 구현했습니다. 이 대화 상자에서 사용자는 비디오가 활성화되어 있는지 여부와 상관없이 미팅에 참여할 수 있으며, 비디오에 대해 원하는 기본 동작을 설정해야 합니다. Zoom은 고객에게 https://zoom.us/download에 제공되는 최신 Zoom Client 릴리스를 설치하도록 권고합니다.

Affected Products:

  • Zoom MacOS Client 4.4.5 이전 버전
  • RingCentral MacOS Client 4.4.5 이전 버전

Source: Jonathan Leitschuh가 발견했습니다.

ZSB-19001 07/09/2019 서비스 거부 공격 - MacOS 낮음 CVE-2019-13449

Severity: 낮음

CVSS Score: 최저: 3.1

CVSS Vector String: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H

Description: MacOS Zoom Client의 취약점으로 인해 인증되지 않은 원격 공격자가 공격 대상자의 시스템에서 서비스 거부 조건을 트리거할 수 있습니다.

이 취약점은 포트 19421에서 실행되는 로컬 Zoom Web 서버와 통신할 수 있는 시스템을 확인하는 권한 부여 제어가 불충분하여 발생합니다. 공격자는 Zoom Client가 잘못된 미팅 ID로 미팅에 반복적으로 참여하려고 시도하게 만드는 악성 웹 사이트를 만들어 이 취약점을 악용할 수 있습니다. 무한 루프는 Zoom Client를 작동 불가 상태로 만들며 이것이 실행되는 시스템의 성능에 영향을 미칠 수 있습니다.

Zoom은 이 문제를 해결하기 위해 2019년 4월 28일에 MacOS Client의 4.4.2-hotfix 버전을 릴리스했습니다.

Affected Products:

  • Zoom MacOS Client 4.4.5 이전 버전
  • RingCentral MacOS Client 4.4.5 이전 버전

Source: Jonathan Leitschuh가 발견했습니다.

ZSB-18001 11/30/2018 권한이 없는 메시지 처리 높음 CVE-2018-15715

Severity: 높음

CVSS Score: 7.4

CVSS Vector String: AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:L/A:L/CR:X/IR:H/AR:H/MAV:X/MAC:X/MPR:X/MUI:X/MS:X/MC:X/MI:X/MA:X

Description: Zoom Client의 취약점으로 인해 인증되지 않은 원격 공격자가 미팅 참가자를 내보내고, 채팅 메시지를 보내고, 참가자 마이크의 음소거 설정을 제어하는 등 미팅 기능을 제어할 수 있습니다. 또한 공격자가 미팅의 유효한 참가자이며 또 다른 참가자가 데스크톱 화면을 공유하고 있는 경우 공격자는 해당 참가자의 키보드와 마우스도 제어할 수 있습니다.

이 취약점은 Zoom의 내부 메시징 펌프가 클라이언트 UDP(User Datagram Protocol)와 서버 TCP(Transmission Control Protocol) 메시지를 모두 동일한 메시지 처리기로 모두 발송하여 발생합니다. 공격자는 이 취약점을 악용하여 권한 있는 Zoom 서버가 사용하는 신뢰할 수 있는 TCP 채널에서 처리된 메시지로 해석될 수 있는 UDP 패킷을 만들어서 보낼 수 있습니다.

Zoom은 이 보안 취약점을 해결하기 위해 클라이언트 업데이트를 릴리스했습니다. 사용자는 https://zoom.us/download에서 제공되는 모든 최신 보안 업데이트를 통해 최신 업데이트를 적용하거나 최신 Zoom 소프트웨어를 다운로드해 자신을 보호할 수 있습니다.

Affected Products:

  • Windows Client 4.1.34460.1105 이전 버전
  • Mac Client 4.1.34475.1105 이전 버전
  • Linux Client 2.5.146186.1130 이전 버전
  • iOS Client 4.1.18(4460.1105) 이전 버전
  • Android Client 4.1.34489.1105 이전 버전
  • Chrome Client 3.3.1635.1130 이전 버전
  • Windows Zoom Room Client 4.1.6(35121.1201) 이전 버전
  • Mac Zoom Room Client 4.1.7(35123.1201) 이전 버전
  • Chrome Zoom Room Client 3.6.2895.1130 이전 버전
  • Windows Zoom SDK 4.1.30384.1029 이전 버전
  • Mac Zoom SDK 4.1.34180.1026 이전 버전
  • iOS Zoom SDK 4.1.34076.1024 이전 버전
  • Android Zoom SDK 4.1.34082.1024 이전 버전
  • Zoom 가상 룸 커넥터 4.1.4813.1201 이전 버전
  • Zoom 미팅 커넥터 4.3.135059.1129 이전 버전
  • Zoom 녹화 커넥터 3.6.58865.1130 이전 버전
  • Zoom Cloud Skype for Business 커넥터는 2018년 12월 1일에 업데이트되었습니다.
  • Zoom Cloud 회의실 커넥터는 2018년 12월 6일에 업데이트되었습니다.

Source: Tenable의 David Wells

No results found