Check Point, hacker potevano connettersi ai meeting: bug in Zoom

Zoom è molto utilizzata per i meeting online. Zoom, è un’azienda leader nella moderna enterprise video communication, la sua piattaforma cloud per videoconferenze e audioconferenze, networking, chat e webinar per dispositivi mobile, desktop e telefoni, è utilizzata con successo in tutto il mondo per sale conferenze, corsi di formazione, negli uffici esecutivi e dei board aziendali. Questi meeting online sono molto comodi, ma sono sicuri? E se qualcuno potesse aver accesso alle riunioni della vostra azienda e scoprire dei dettagli segreti? Vi siete mai chiesti come viene protetta la vostra privacy quando utilizzate un software di networking aziendale basato su cloud, come Zoom?

Check Point Research, la divisione Threat Intelligence di Check Point® Software Technologies Ltd., ha scoperto che un hacker avrebbe potuto intrufolarsi ai meeting online con Zoom e ascoltare le riunioni. L’unica forma di sicurezza erano i Meeting ID, ovvero il numero della riunione associato a un meeting istantaneo o pianificato. Il problema di vulnerabilità sorgeva se l’organizzatore non aveva abilitato l’opzione “Richiedi password per il meeting” o non aveva abilitato l’attesa (“Waiting Room”) - che consente l'ammissione manuale dei partecipanti. In questo caso, quindi, le 9/10/11 cifre che compongono il Meeting ID di Zoom erano l’unica cosa che garantiva la sicurezza della riunione, quindi erano l’unico elemento che impediva ad una persona non autorizzata di collegarsi al meeting.

I ricercatori di Check Point sono stati in grado di prevedere circa il 4% dei meeting ID generati in modo casuale, il che è indice dell’alta probabilità di successo che avrebbero potuto avere gli hacker malintenzionati. Lo scorso luglio, Check Point ha informato Zoom di questa vulnerabilità, proponendo le seguenti correzioni per attenuare il problema: 1. Re-implementare l’algoritmo di generazione dei Meeting ID; 2. Sostituire la funzione di randomizzazione [randomization function] con una funzione crittograficamente forte; 3. Aumentare il numero di cifre nei Meeting ID; 4. Spingere gli organizzatori dei meeting a richiedere password\PIN\SSO per l’accesso. Zoom è stata molto collaborativa e ha risposto immediatamente apportando una serie di modifiche per risolvere in modo adeguato questa vulnerabilità.

• Le password vengono ora aggiunte tramite impostazione predefinita a tutte le riunioni; • Gli utenti possono aggiungere una password alle riunioni programmate prima della patch e che non avevano questa impostazione; • Le impostazioni della password possono essere applicate a livello di singolo account e per i gruppi dall'amministratore dell’account. • Zoom non indicherà più automaticamente se un ID riunione è valido o non valido. Per ogni tentativo, la pagina verrà caricata e tenterà di partecipare al meeting. Così non sarà possibile restringere rapidamente il gruppo di riunioni e tentare di parteciparvi. • Tentativi ripetuti di ricerca degli ID riunione causeranno il blocco di un dispositivo per un periodo di tempo. Per leggere la ricerca completa andare alla pagina Web: http://bit.ly/2O5RUWw

La notizia di questo nuovo bug e della sua successiva correzione arriva meno di un anno dopo che Zoom ha risolto un problema di sicurezza che avrebbe potuto consentire a un utente malintenzionato di dirottare la webcam di un utente Mac senza la sua autorizzazione inducendolo a visitare un sito Web dannoso. Alla luce di questa vulnerabilità (catalogata come CVE-2019-13450), la società tecnologica ha deciso di fornire ai suoi utenti un controllo ancora maggiore delle loro impostazioni video. Zoom Video Communications, Inc. (https://zoom.us/)  riunisce i team per fare di più in un ambiente video privo di attriti. La sua piattaforma di comunicazione unificata per video, facile, affidabile e innovativa, offre videoconferenze, voice, webinar e chat su desktop, telefoni, dispositivi mobili e sistemi di conference room.

Zoom aiuta le aziende a creare esperienze elevate con le principali integrazioni di app aziendali e strumenti di sviluppo per creare flussi di lavoro personalizzati. Check Point Software Technologies Ltd. (Nasdaq CHKP) www.checkpoint.com è leader mondiale della sicurezza Internet e l’unico vendor in grado di offrire Sicurezza Totale a reti, dati ed endpoint, unificata in una singola infrastruttura di gestione. Check Point offre ai clienti protezione senza compromessi da ogni tipo di minacce, diminuisce la complessità e riduce i costi totali di possesso. Grazie a FireWall-1 e alla tecnologia Stateful Inspection, Check Point può essere definito il pioniere nel settore della sicurezza. In aggiunta, la nota linea di soluzioni Zone Alarm protegge milioni di utenti individuali da hacker, spyware e furti di identità.

Via: Team Lewis