Siga o Olhar Digital no Google Discover
A Apple enfrenta mais uma vulnerabilidade que coloca em risco a privacidade dos clientes. Nesta terça-feira (8), o pesquisador de segurança Jonathan Leitschuh revela em seu blog que uma falha zero-day — brecha de segurança explorada antes que a empresa a solucione — foi encontrada no aplicativo de videoconferências Zoom, instalado em MacBooks.
Ofertas
Por: R$ 36,21
Por: R$ 24,96
Por: R$ 9,90
Por: R$ 5,86
Por: R$ 113,70
Por: R$ 6,90
Por: R$ 37,92
Por: R$ 22,59
Por: R$ 59,95
Por: R$ 3.099,00
Por: R$ 3.324,00
Por: R$ 799,00
Por: R$ 241,44
Por: R$ 388,78
Por: R$ 2.159,00
Por: R$ 188,99
Por: R$ 45,00
Por: R$ 379,00
Por: R$ 1.239,90
Por: R$ 943,20
Por: R$ 798,99
Por: R$ 199,00
Por: R$ 476,10
Por: R$ 1.139,05
Por: R$ 949,00
Por: R$ 119,90
Por: R$ 398,99
Por: R$ 79,90
Por: R$ 199,90
O erro permite que qualquer website force o usuário a participar de uma videoconferência pelo Zoom e ative a câmera sem sua permissão. Assim, qualquer website pode iniciar um ataque de negação de serviço (também conhecido como DoS) contra um MacBook e tornar indisponíveis todos os recursos do sistema. É possível fazer isso a partir do envio repetido de códigos ao sistema para conectar o usuário a uma chamada inválida.
Isso ocorre porque o Zoom instala nos Macs um servidor web que aceita solicitações que outros navegadores não aceitam. Segundo Leitschuh, se o app for desinstalado, esse servidor permanece na máquina e pode reinstalar o Zoom sem autorização do usuário. Para isso, basta que ele visite uma página da internet danosa que permita a ativação da falha de segurança.
O The Verge conversou com Leitschuh e fez uma simulação que confirmou a vulnerabilidade. A equipe da reportagem clicou em um link num MacBook com o Zoom instalado e configurado para ativar a câmera ao iniciar uma chamada. O usuário foi automaticamente conectado a uma teleconferência.
Soluções para a falha
Leitschuh diz que notificou a vulnerabilidade ao Zoom em março, mas a empresa não fez o suficiente para eliminar a falha. Ele informou, ainda, as equipes do Chromium (Google Chrome) e do Mozilla sobre o bug, mas, como o problema não envolve esses navegadores, não há muito que seus desenvolvedores possam fazer.
Para impedir que websites invadam a câmera do computador, é importante manter o aplicativo atualizado e desativar a configuração que liga a câmera automaticamente em chamadas de vídeo pelo app. A simples desinstalação do Zoom não corrige a vulnerabilidade, porque o servidor web do aplicativo continua no MacBook.
Em comunicado à imprensa emitido depois que o pesquisador fez a publicação em seu blog, o Zoom informa que desenvolveu o servidor web local para eliminar alguns cliques do usuário. Isso porque, de acordo com a empresa, a Apple alterou o navegador Safari de modo que os usuários do app precisavam confirmar que queriam iniciar o Zoom todas as vezes que iam usar a plataforma.
A companhia defende o que chama de “solução alternativa” (o servidor web) como “solução legítima para uma experiência ruim e para permitir que os usuários tenham reuniões ininterruptas, com um único clique para entrar”.
Além disso, a empresa diz que vai fazer um pequeno ajuste no aplicativo. Dessa forma, a partir de julho, o Zoom salvará as preferências de usuários e administradores para que o sistema entenda se o vídeo deve ser ligado ou não quando eles entrarem pela primeira vez em uma chamada.
Tags: