🧝🏽 🦊 📓 वे हमारे बीच हैं: विंडोज के लिए ज़ूम में कमजोरियों और दुर्भावनापूर्ण कोड की खोज 🤩 😸 🎎

ज़ूम करने के लिए इस "किशमिश" को किसने जोड़ा?

हाल ही में, एक अक्सर निम्नलिखित टिप्पणी सुनता है:

"हम / मैं गोपनीय वार्तालापों के लिए ज़ूम का उपयोग नहीं करते हैं"

लेकिन क्या होगा यदि ज़ूम सत्र की गोपनीयता के अलावा कोई और अपने डिवाइस पर डेटा की अखंडता के बारे में परवाह करता है? और व्यर्थ में नहीं, क्योंकि, जैसा कि यह निकला, इसके कारण हैं। न केवल ज़ूम कॉन्फ्रेंस डेटा दांव पर है, बल्कि उन सभी चीज़ों की अखंडता और गोपनीयता भी है जो एक सम्मेलन प्रतिभागी अपने कंप्यूटर पर बचाता है।

इसलिए, मैंने विंडोज के लिए ज़ूम (संस्करण 4.6.11 (20559.0413)) के लिए दो शाम (कुल लगभग 5-6 घंटे) बिताए। मैं केवल स्थैतिक विश्लेषण में लगा हुआ था, वास्तविक समय में आवेदन का अवलोकन नहीं कर रहा था। लेकिन मेरे लिए इतना ही काफी था। मुझे जो कुछ भी मिला वह इस लेख में वर्णित है। लेकिन मुझे यकीन है कि यह सिर्फ हिमशैल का टिप है। कल्पना करें कि पर्याप्त समय और बजट के साथ एक सुरक्षा विश्लेषक क्या खोद सकता है ... और मैंने जानबूझकर उन कमजोरियों की तलाश की, जिनका उपयोग तीसरे पक्ष को गोपनीय जानकारी (उदाहरण के लिए, फेसबुक पर सूचना रिसाव ) का खुलासा करने के लिए किया जा सकता है ।

मैंने बहुत सतही अध्ययन किया और विवरण में नहीं गया। मैंने अपने खाली समय में ऐसा किया और मैं अब ऐसा करने का इरादा नहीं करता। मैंने स्पष्ट लक्ष्य निर्धारित किया - सुरक्षा के संदर्भ में कोड की गुणवत्ता और ज़ूम एप्लिकेशन में शामिल सॉफ़्टवेयर के लिए समर्थन की उपस्थिति (या अनुपस्थिति) का आकलन करने के लिए (जो कि तीसरे पक्ष के पुस्तकालयों की एक बड़ी संख्या का उपयोग करते समय विशेष रूप से आवश्यक है)।

पुरातन 32-बिट अनुप्रयोग

गंभीरता से? लेकिन क्यों?! Microsoft ने 64-बिट अनुप्रयोगों के लिए समर्थन और 64-बिट प्रोसेसर के लिए विभिन्न सुरक्षा संवर्द्धन के लिए समर्थन जोड़ा है, विंडोज 7 से शुरू। यह ग्यारह साल पहले 2009 में था। और विंडोज 7 ही लंबे समय से पुराना है (14 जनवरी, 2020 से यह ओएस अब समर्थित नहीं है)। लेकिन नहीं, 2020 में ज़ूम अभी भी केवल 32-बिट विंडोज अनुप्रयोगों को जारी करता है।

zData.dll

zData.dll भेद्यता के साथ एक घटक का उपयोग करता है। पदावनत ओपनएसएसएल 1.0.2 पुस्तकालय (दिनांक 27 मार्च, 2018) अपनी कमजोरियों के लिए जाना जाता है जिसे कोई ठीक नहीं करेगा।

दिसंबर 2019 से, ओपनएसएसएल 1.0.2 पर काम बंद कर दिया गया है। यहाँ उसके डेवलपर्स ने लिखा है :

"वर्तमान और भविष्य के रिलीज के अनुसार, ओपनएसएसएल परियोजना ने निम्नलिखित निर्णय किए:

ओपनएसएसएल का अगला संस्करण 3.0.0 होगा।
संस्करण 1.1.1 2023-09-11 (LTS) तक समर्थित होगा।
संस्करण 1.0.2 अब समर्थित नहीं है। बढ़ा हुआ समर्थन अब उपलब्ध है ।
संस्करण 1.1.0, 1.0.1, 1.0.0 और 0.9.8 अब समर्थित नहीं हैं। "

या यहाँ :

एसक्यूएल स्टेटमेंट्स का संयोजन

CWE-89 : एसक्यूएल कमांड (एसक्यूएल इंजेक्शन) के विशेष तत्वों का गलत बेअसर होना

ZData.dll में, बैकएंड का उपयोग एन्क्रिप्टेड SQLite डेटाबेस में विभिन्न सत्र और कॉन्फ़िगरेशन डेटा को संग्रहीत करने के लिए किया जाता है। कुछ मामलों में, कोड में SQL स्टेटमेंट केवल संक्षिप्त रूप से प्रतीत होते हैं, जैसा कि नीचे दिखाया गया है:

उदाहरण 1:

उदाहरण 2:

+ = ऑपरेटर के कार्यान्वयन के आधार पर, zData.dll संभवतः SQL इंजेक्शन सुरक्षाछिद्र बना सकता है जिससे जानकारी प्रकटीकरण हो सकता है। या ज़ूम एंड-यूज़र डिवाइस पर मनमाना कोड निष्पादन।

ओह, मुझे माफ करना ... लेकिन यह, संयोग से, एक एन्क्रिप्टेड SQLite डेटाबेस के क्रिप्टोग्राफिक डिक्रिप्शन के लिए महत्वपूर्ण नहीं है?

मुझे यकीन है कि पता नहीं है, वास्तव में :-) हालांकि, डेटाबेस का एन्क्रिप्शन, सिद्धांत रूप में, वहाँ संग्रहीत गोपनीय उपयोग के साथ हस्तक्षेप नहीं करता है। इतिहास रिकॉर्ड्स, लॉग्स और संभवतः संवेदनशील डेटा जैसे पासवर्ड और / या क्रिप्टोकरेंसी स्टोर करने के लिए ज़ूम एक SQLite डेटाबेस का उपयोग करने लगता है। मैं डेटा कंटेनर के रूप में SQLite का उपयोग करने में गहराई से नहीं गया था, मैं इस मजाक को और अधिक उत्सुक पाठकों पर छोड़ देता हूं।

Zzhost.dll

बफर अतिप्रवाह खतरा

द्विआधारी आयात तालिकाओं के माध्यम से देखते हुए, मुझे स्प्रिंटफ () में कॉल आया। लेकिन आप जानते हैं कि स्प्रिंटफ () एक संभावित खतरनाक कार्य है, और संकलक चेतावनी देते हैं यदि आप इसका उपयोग करते हैं। ऐसा लगता है कि इस तरह की चेतावनी ज़ूम डेवलपर्स को परेशान नहीं करती है।

CWE-120 : पहले इनपुट डेटा (लॉगिंग फ़ंक्शन में) की जांच किए बिना बफर की सामग्री की नकल करना
CWE-676 : संभावित खतरनाक कार्यों (स्प्रिंटफ) का उपयोग करना

इस भेद्यता का सफलतापूर्वक उपयोग करने के लिए, स्रोत बफर की सामग्री को नियंत्रित करना आवश्यक है। मैंने खुद ऐसा करने की कोशिश नहीं की है। हालांकि, चूंकि यह एक लॉगिंग (यानी, लॉगिंग) फ़ंक्शन है, इसलिए हमलावर मूल बफर की सामग्री को सैद्धांतिक रूप से प्रभावित कर सकते हैं। एक बार फिर, मैंने खुद जांच नहीं की कि क्या यह वास्तव में संभव है। लेकिन यहां तक कि इस तरह के अवसर की घटना के तथ्य और कार्यों का उपयोग करने के खतरों के बारे में चेतावनियों को नजरअंदाज करना बहुत बुरा व्यवहार है। डेवलपर्स! ऐसा मत करो!

zCrashReport.exe

Windows रजिस्ट्री कुंजी सहेजना

विंडोज रजिस्ट्री में काफी महत्वपूर्ण जानकारी है - खासकर जब हम इसे विशेषाधिकार प्राप्त अधिकारों के साथ एक प्रक्रिया के माध्यम से एक्सेस करते हैं।

मुझे यह पता चला:

"रजिस्ट्री कुंजी डंप करना" मेरे लिए एक दुर्भावनापूर्ण कार्य की तरह लगता है, इसलिए मैंने यह पता लगाने की कोशिश की कि क्या यह वास्तव में विंडोज रजिस्ट्री की कुंजी और मूल्यों को बचाता है। हां, यह है, मुझे कोड में संबंधित टुकड़ा मिला:

क्रैश रिपोर्टर में स्क्रीन कैप्चर

zCrashReport.dll हमें निम्नलिखित कार्य प्रदान करता है:

crashReport.exe में, स्क्रीन और विंडोज़ को कैप्चर करने के लिए Windows API फ़ंक्शन का उपयोग किया जाता है।

क्या आपको लगता है कि ज़ूम स्क्रीन से कैप्चर किए गए डेटा को अपने सर्वर पर भेजता है? यदि ऐसा है, तो इसे दुर्भावनापूर्ण कोड माना जा सकता है।

Airhost.exe

कमजोरियों के साथ घटक

Airhost.exe का उपयोग libcurl 7.36.0 (26 मार्च 2014 को जारी किया गया), जिसमें 52 भेद्यताएं पाई गईं । खैर, कर्ल, बदले में, libssh2 शामिल है, जो कई भेद्यताओं द्वारा भी नोट किया गया था :

ये कमजोरियां, सौभाग्य से, विशेष रूप से ज़ूम उपयोगकर्ताओं के लिए खतरा पैदा नहीं करती हैं। हालाँकि, यदि आप अपने कोड के बारे में परवाह करते हैं तो पुरानी और कमजोर पुस्तकालयों का उपयोग क्यों करें? यह अनुमान लगाने की तुलना में नवीनतम संस्करण का उपयोग करना आसान है कि क्या अगली भेद्यता आपके एप्लिकेशन को प्रभावित करेगी, क्या यह है?

हार्ड कुंजी एन्क्रिप्शन / डिक्रिप्शन

Airhost.exe सममित एन्क्रिप्शन कुंजी के रूप में निरंतर का उपयोग करता है: SHA256 आउटपुट लाइन "0123425234234fsdfsdr3242" का उपयोग OpenSSL के माध्यम से AES-256 को एन्क्रिप्ट / डिक्रिप्ट करने के लिए किया जाता है।

और लाइन "3423423432325249" का उपयोग आरंभीकरण वेक्टर IV के रूप में किया जाता है।

कमजोरियाँ zWebService.dll और tp.dll

zWebService.dll और tp.dll libcurl 7.55.1 का उपयोग करें। भले ही यह पुस्तकालय libcurl 7.36.0 के रूप में पुराना नहीं है (जिसका उपयोग airhost.exe में किया जाता है), यह अभी भी थोड़ा पुराना है। यदि एंड-यूज़र सुरक्षा वास्तव में डेवलपर्स के लिए महत्वपूर्ण थी, तो वे कमजोरियों की इस सूची की जांच करेंगे :

कमजोरियाँ Turbojpeg.dll

Turbojpeg.dll libjpeg-टर्बो 2.0.0 (20190715 का निर्माण) का उपयोग करता है। यहाँ दूरस्थ कोड निष्पादन वर्ग टर्बोजप्रेस / लिबजेपर-टर्बो में कमजोरियों की एक सूची दी गई है :

आगे क्या होगा?

इस बिंदु पर, मैंने विंडोज के लिए जूम के इनसाइड में खुदाई बंद कर दी। उन लोगों के लिए जो जारी रखना चाहते हैं, मैं ख़ुशी से बैटन पास करता हूँ:

ज़ूम 4.6.11 की sha256 चेकसम (20559.0413) निष्पादन योग्य फाइलें

वे हमारे बीच हैं: विंडोज के लिए ज़ूम में कमजोरियों और दुर्भावनापूर्ण कोड की खोज