Eine Sicherheitslücke, die als unangemessene Eingabevalidierung eingestuft wurde, wurde im Zoom Desktop-Client für Windows, Zoom VDI-Client für Windows und im Zoom Meeting SDK für Windows entdeckt. Diese Lücke könnte es einem authentifizierten Angreifer ermöglichen, über das Netzwerk auf sensible Informationen im System zuzugreifen.
Der Zoom Desktop-Client für Windows, der Zoom VDI-Client für Windows und das Zoom Meeting SDK für Windows weisen eine kritische Sicherheitsanfälligkeit zur Rechteausweitung (CVE-2024-24691) auf, die mit einem CVSS-Score von 9,6 bewertet wurde.
Laut den Erkenntnissen der Zoom Offensive Security ist die Sicherheitslücke äußerst ernst und kann mit einem relativ einfachen Komplexitätsgrad ausgenutzt werden.
Der CVSS-Vektor-String (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H) liefert weitere Informationen über die Sicherheitslücke, einschließlich der Tatsache, dass ein nicht authentifizierter Angreifer mit geringen Privilegien sie aus der Ferne ausnutzen kann und dass sie erhebliche Auswirkungen auf die Vertraulichkeit, Integrität und Verfügbarkeit des Systems hat.
Die Sicherheitslücke resultiert aus dem Versäumnis der Anwendung, Benutzereingaben zu validieren. Bösartige Akteure können diese Schwachstelle ausnutzen, indem sie speziell gestaltete Datenpakete über das Netzwerk senden.
Falls die Anwendung diese Daten ohne angemessene Validierung verarbeitet, kann dies unbeabsichtigte Aktionen auslösen und Angreifern potenziell ermöglichen, ihre Privilegien zu eskalieren, was Angreifern die vollständige Kontrolle über das kompromittierte System geben könnte.
Mit diesem Zugriffsniveau könnten Angreifer sensible Daten stehlen, bösartige Software installieren, kritische Operationen stören oder sogar das kompromittierte System als Ausgangspunkt für weitere Angriffe nutzen.
Betroffene Produkte: Zoom warnt Benutzer vor einer kritischen Sicherheitslücke (CVE-2024-24691) im Zoom Desktop-Client und Zoom VDI-Client für Windows. Versionen vor 5.16.5 für den Desktop-Client und solche vor 5.16.10 für den VDI-Client (mit Ausnahme spezifischer Ausnahmen) sind anfällig.
Es ermöglicht nicht authentifizierten Angreifern im Netzwerk, Privilegien zu eskalieren, und eine sofortige Aktualisierung auf Versionen 5.16.5 (Desktop) oder 5.16.10 (VDI, mit Ausnahme der genannten Ausnahmen) ist über den bereitgestellten Link unerlässlich.
Zoom hat auch eine kritische Sicherheitslücke (CVE-2024-24691) im Zoom Rooms Client für Windows in Versionen älter als 5.17.0 und im Zoom Meeting SDK für Windows in Versionen vor 5.16.5 identifiziert.
Die Sicherheitslücke stammt von Suchpfaden, denen nicht vertraut werden kann, und macht es möglich, dass böswillige Akteure im Netzwerk nicht autorisierten Code ausführen.
Die Schwere dieser Lücke ermöglicht es Angreifern, die vollständige Kontrolle über betroffene Systeme zu übernehmen, was zu Datenlecks, Malware-Installationen oder Störungen kritischer Zoom-Funktionen führen kann.
