Security Week 2222: уязвимость в приложении Zoom
На прошлой неделе разработчики клиента для веб-конференций Zoom закрыли серьезную уязвимость, которая при некоторых обстоятельствах могла приводить к выполнению произвольного кода. Уязвимость получила идентификатор CVE-2022–22787, ее особенности кратко описаны в статье издания The Register и в бюллетене компании Zoom. Обнаружил проблему эксперт из команды Google Project Zero, и вот их подробный отчет представляет большой интерес.
Исследователь Иван Фратрич (Ivan Fratric) по сути смог построить атаку на далеко не самой очевидной основе. Для пересылки сообщений в Zoom используется собственная реализация открытого протокола XMPP. Проблема заключалась в том, что код, отвечающий за разбор содержимого сообщений в формате XML, различается на сервере и на клиенте. Минимальные различия в парсинге удалось превратить в полноценную атаку, которая при этом не требует никаких действий от жертвы, если передача сообщений от атакующего в принципе разрешена.
Исследователь назвал свою атаку XMPP Stanza Smuggling. Stanza или «строфы» — это стандартные элементы в формате XML, пересылаемые от отправителя на сервер и далее к получателю. Фратрич нашел способ протаскивания незаконных строф контрабандой в теле сообщения. Причина была в том, что на сервере Zoom (по предположению исследователя) используется модифицированное открытое ПО ejabberd. Для парсинга XML в нем применяется библиотека fast_xml, в которой, в свою очередь, использован код парсера Expat. На клиенте для того же самого используется библиотека Gloox. Как оказалось, библиотека Expat не проверяет пару символов, если использовать идентификатор трехбайтовой кодировки UTF. Gloox, в свою очередь, игнорирует идентификатор, проверяет ввод посимвольно, а значит, в ту самую пару символов можно протащить троянского коня.
Дальше эксперт строил цепь атаки, и оказалось, что его возможности тут достаточно велики — он ведь способен передавать без проверки на сервере служебные сообщения. Можно, например, изменить домен, на который пользователь направляется, когда он хочет приложить файл из облачного сервиса. Но в этом же наборе функций была найдена возможность изменить адреса серверов Zoom. После подмены доменного имени не обязательно пытаться имитировать работу настоящего сервера Zoom, достаточно пересылать сообщения между клиентом и сервером. А в нужный момент, когда клиент в очередной раз пойдет проверять наличие обновлений, подсунуть ему вредоносный исполняемый файл.
Помимо этой проблемы, Фратрич нашел еще пару уязвимостей в механизме парсинга XML. Хотя проблема в обработке входящих данных технически была на сервере, Zoom, судя по всему, в первую очередь пропатчил клиент, заблокировав возможность подмены сервера, то есть исключил атаку типа Man-in-the-Middle. Помимо этого, информация об ошибке парсинга была отправлена разработчикам библиотеки Expat.
Что еще произошло:
Компания Microsoft публикует подробный отчет об эволюции вредоносного ПО, крадущего данные кредитных карт на сайтах с функциональностью интернет-магазина. Среди приведенных примеров успешных атак — интересный вариант стеганографии, когда вредоносный код на языке PHP скрывается в картинке, которая подбрасывается на взломанный сервер. В целом главный вывод отчета — злоумышленники пытаются сделать работу веб-скиммеров более скрытной.
Издание ArsTechnica пишет об уязвимости в цифровых водительских правах, которые некоторое время выдаются в Австралии (и вместо карточки позволяют показать удостоверение личности на смартфоне). Ранее их особенности уже обсуждались, но в контексте очень грубой подделки. Например, тинейджер может притвориться, что он старше, чем на самом деле, просто изменив скриншот цифровых прав в фотошопе и показав его на входе в питейное заведение. Но в данном случае проблема сложнее: как выяснилось, достаточно легко создать поддельные виртуальные права, которые проходят инструментальную проверку. То есть при считывании QR-кода на терминале проверяющего (в полиции или там, где требуется проверять возраст) будет «зеленый сигнал».
