Error de zoom permite adivinar la contraseña para la conferencia de otra persona


El especialista de SearchPilot, Tom Anthony, descubrió que una contraseña de seis dígitos para las conferencias de Zoom podría ser descirada por ataque de fuerza bruta.

El hecho es que desde abril de este año, Zoom protege todas las conferencias con una contraseña numérica obligatoria de seis dígitos. La compañía introdujo tal medida de protección debido al llamado Zoom-Bombing. Antes de la introducción de esta medida, los terceros a menudo se unían a las videoconferencias de Zoom (lecciones en línea, reuniones de negocios, etc.) para interrumpir la reunión o simplemente hacer una broma. A menudo, más tarde, las grabaciones de tales bromas aparecieron y se difundieron en las redes sociales.

Anthony explica que encontró un error CSRF, no hay restricciones en el número de intentos de contraseña, así como la velocidad de la fuerza bruta. Como resultado, resultó que solo necesita resolver un millón de combinaciones posibles (de 000000 a 999999). Con 4-5 servidores en la nube, esto podría hacerse en cuestión de minutos a través del cliente web (y la dirección en el formato https://zoom.us/j/MEETING_ID), enviando continuamente solicitudes HTTP.

El especialista también escribe que el mismo procedimiento podría repetirse para conferencias programadas, para las cuales es posible cambiar la contraseña predeterminada a una versión alfanumérica más larga. En este caso, fue posible resolver rápidamente 10,000,000 de las contraseñas más populares.

El investigador descubrió el problema el 1 de abril de 2020, poco después de la introducción de la protección con contraseña. Notificó a los ingenieros de Zoom del error adjuntando un exploit PoC escrito en Python a su informe. Una herramienta especializada podría descifrar una contraseña de seis dígitos en aproximadamente 25 minutos desde una computadora. Si se conectaban más máquinas o la capacidad de los servidores en la nube a la carcasa, el tiempo de piratería se reducía a un par de minutos. Para solucionar el error, los desarrolladores se vieron obligados a deshabilitar temporalmente el cliente web de Zoom, y el 9 de abril, solucionaron el problema.


Fuente: https://xakep.ru/

No olvides Compartir... 
Siguenos en twitter: @disoftin - @fredyavila

Publicar un comentario

0 Comentarios