Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Bug

Bug

Bug BIOS Dell Baru Mempengaruhi Jutaan Inspiron, Vostro, XPS, Sistem Alienware

by

Lima kelemahan keamanan baru telah diungkapkan di BIOS Dell yang, jika berhasil dieksploitasi, dapat menyebabkan eksekusi kode pada sistem yang rentan, bergabung dengan kerentanan firmware seperti yang baru-baru ini ditemukan di InsydeH2O Insyde Software dan HP Unified Extensible Firmware Interface (UEFI).

Dilacak sebagai CVE-2022-24415, CVE-2022-24416, CVE-2022-24419, CVE-2022-24420, dan CVE-2022-24421, kerentanan tingkat tinggi diberi peringkat 8,2 dari 10 pada sistem penilaian CVSS.

“Eksploitasi aktif dari semua kerentanan yang ditemukan tidak dapat dideteksi oleh sistem pemantauan integritas firmware karena keterbatasan pengukuran Trusted Platform Module (TPM),” perusahaan keamanan firmware Binarly, yang menemukan tiga kelemahan terakhir, mengatakan dalam sebuah tulisan- ke atas.

“Solusi pengesahan kesehatan perangkat jarak jauh tidak akan mendeteksi sistem yang terpengaruh karena keterbatasan desain dalam visibilitas waktu proses firmware.”

Semua kelemahan terkait dengan kerentanan validasi input yang tidak tepat yang memengaruhi Mode Manajemen Sistem (SMM) firmware, yang secara efektif memungkinkan penyerang terotentikasi lokal untuk memanfaatkan interupsi manajemen sistem (SMI) untuk mencapai eksekusi kode arbitrer.

Mode Manajemen Sistem mengacu pada mode CPU tujuan khusus dalam mikrokontroler x86 yang dirancang untuk menangani fungsi di seluruh sistem seperti manajemen daya, kontrol perangkat keras sistem, pemantauan termal, dan kode yang dikembangkan pabrikan lainnya.

Setiap kali salah satu dari operasi ini diminta, non-maskable interrupt (SMI) dipanggil saat runtime, yang mengeksekusi kode SMM yang diinstal oleh BIOS. Mengingat bahwa kode SMM dijalankan pada tingkat hak istimewa tertinggi dan tidak terlihat oleh sistem operasi yang mendasarinya, metode ini membuatnya siap untuk disalahgunakan untuk menyebarkan implan firmware persisten.

Sejumlah produk Dell, termasuk Alienware, Inspiron, Vostro line-up, dan Edge Gateway 3000 Series, terpengaruh, dengan pabrikan PC yang bermarkas di Texas merekomendasikan pelanggan untuk mengupgrade BIOS mereka pada “kesempatan paling awal.”

“Kegagalan ini merupakan konsekuensi langsung dari kompleksitas basis kode atau dukungan untuk komponen lama yang kurang mendapat perhatian keamanan, tetapi masih banyak digunakan di lapangan. Dalam banyak kasus, kerentanan yang sama dapat diperbaiki melalui beberapa iterasi, dan tetap saja, kompleksitas permukaan serangan meninggalkan celah terbuka untuk eksploitasi jahat.”

Sumber : The Hacker News

Bug Linux baru memberikan akses root di semua distro utama

by

Kerentanan Linux baru yang dikenal sebagai ‘Dirty Pipe’ memungkinkan pengguna lokal untuk mendapatkan hak akses root melalui eksploitasi yang tersedia untuk umum.

Peneliti keamanan Max Kellermann secara bertanggung jawab mengungkapkan kerentanan ‘Dirty Pipe’ dan menyatakan bahwa itu mempengaruhi Linux Kernel 5.8 dan versi yang lebih baru, bahkan pada perangkat Android.

Kerentanan dilacak sebagai CVE-2022-0847 dan memungkinkan pengguna yang tidak memiliki hak istimewa untuk menyuntikkan dan menimpa data dalam file read-only, termasuk proses SUID yang berjalan sebagai root.

Kellerman menyatakan bahwa kerentanan tersebut mirip dengan kerentanan Dirty COW (CVE-2016-5195) yang diperbaiki pada tahun 2016.

Sebagai bagian dari pengungkapan Dirty Pipe, Kellerman merilis eksploit proof-of-concept (PoC) yang memungkinkan pengguna lokal untuk memasukkan data mereka sendiri ke dalam file read-only yang sensitif, menghapus batasan atau memodifikasi konfigurasi untuk memberikan akses yang lebih besar.

Misalnya, peneliti keamanan Phith0n mengilustrasikan bagaimana mereka dapat menggunakan exploit untuk memodifikasi file /etc/passwd sehingga pengguna root tidak memiliki kata sandi. Setelah perubahan ini dibuat, pengguna yang tidak memiliki hak istimewa cukup menjalankan perintah ‘su root’ untuk mendapatkan akses ke akun root.

Namun, eksploitasi yang diperbarui oleh peneliti keamanan BLASTY juga dirilis secara publik hari ini yang membuatnya lebih mudah untuk mendapatkan hak akses root dengan menambal perintah /usr/bin/su untuk menjatuhkan shell root di /tmp/sh dan kemudian menjalankan skrip.

Setelah dieksekusi, pengguna mendapatkan hak akses root, seperti yang ditunjukkan oleh BleepingComputer di bawah ini di Ubuntu 20.04.3 LTS yang menjalankan kernel generik 5.13.0-27.

Sumber: Bleeping Computer

Kerentanan tersebut diungkapkan secara bertanggung jawab kepada berbagai pengelola Linux mulai 20 Februari 2022, termasuk tim keamanan kernel Linux dan Tim Keamanan Android.

Sementara bug telah diperbaiki di kernel Linux 5.16.11, 5.15.25, dan 5.10.102, banyak server terus menjalankan kernel usang yang membuat rilis eksploitasi ini menjadi masalah signifikan bagi administrator server.

Sumber: Bleeping Computer

Pembaruan Windows 11 KB5010386 dirilis dengan perbaikan kinerja

by

Microsoft telah merilis pembaruan kumulatif Windows 11 KB5010386 dengan pembaruan keamanan, peningkatan kinerja, dan perbaikan untuk bug LDAP.

KB5010386 adalah pembaruan kumulatif wajib karena berisi pembaruan keamanan Patch Tuesday Februari 2022 untuk kerentanan yang ditemukan di bulan-bulan sebelumnya.

Pengguna Windows 11 dapat menginstal pembaruan hari ini dengan membuka Mulai > Pengaturan > Pembaruan Windows dan mengeklik ‘Periksa Pembaruan’.

Pembaruan KB5010386 ditawarkan di Pembaruan Windows

Pengguna Windows 11 juga dapat mengunduh dan menginstal pembaruan KB5010386 dari Katalog Pembaruan Microsoft.

Setelah menginstal pembaruan KB5010386, Windows 11 akan mengubah nomor build menjadi 22000.493.

Selama beberapa bulan terakhir, log perubahan pembaruan kumulatif Microsoft belum memberikan informasi terperinci tentang apa yang telah diperbaiki.

Microsoft menyatakan bahwa satu-satunya perbaikan non-keamanan dalam pembaruan KB5010386 adalah untuk masalah LDAP, yang menyebabkan operasi gagal.

“Pesan kesalahannya adalah, “Kesalahan: 0x20EF. Layanan direktori mengalami kegagalan yang tidak diketahui”.

Minggu lalu, Microsoft merilis pembaruan pratinjau Windows 11 yang menyelesaikan masalah kinerja Windows 11 File Explorer saat beralih di antara, menelusuri, atau memilih file. Meskipun Microsoft tidak mencantumkannya di changelog, perbaikan ini juga disertakan dengan pembaruan kumulatif Windows 11 hari ini.

Terakhir, Microsoft memperbarui tumpukan layanan untuk mengatasi bug atau masalah yang mencegah Pembaruan Windows menginstal pembaruan di masa mendatang dengan benar.

Sumber : Bleeping Computer

CISA Memerintahkan Agen Federal untuk Memperbaiki Bug Windows yang Dieksploitasi Secara Aktif

by

CISA menempatkan thumbscrews pada agen federal untuk membuat mereka menambal kerentanan Windows yang dieksploitasi secara aktif.

Pada hari Jumat, Badan Keamanan Cybersecurity dan Infrastruktur AS (CISA) mengumumkan bahwa mereka menambahkan kerentanan dilacak sebagai CVE-2022-21882 dan dengan peringkat kekritisan CVSS 7.0 – ke Katalog Kerentanan yang Diketahui yang Dieksploitasi.

Langkah ini berarti bahwa lembaga Federal Civilian Executive Branch (FCEB) memiliki waktu hingga 18 Februari 2022 untuk memulihkan kerentanan, yang memengaruhi semua versi Windows 10 yang belum ditambal.

CVE-2022-21882 adalah bug eskalasi hak istimewa di Windows 10 yang tidak memerlukan banyak hak istimewa untuk dieksploitasi: skenario buruk, terutama mengingat eksploitasi tidak memerlukan interaksi pengguna.

Microsoft mengatasi bug tersebut sebagai bagian dari pembaruan Patch Tuesday Januari 2022: serangkaian patch luas yang menangani 97 kerentanan keamanan, sembilan di antaranya adalah CVE kritis, termasuk self-propagator dengan skor 9,8 CVSS.

Sayangnya, terlepas dari kenyataan bahwa itu adalah Patch Tuesday yang gemuk yang diisi penuh dengan patch-patch kritis, itu juga Patch Tuesday yang gemuk yang kemungkinan besar mengembangkan reaksi alergi oleh banyak organisasi.

Itu karena, setidaknya untuk beberapa pelanggan, pembaruan segera meledak, merusak Windows, menyebabkan loop boot spontan pada server pengontrol domain Windows, merusak Hyper-V dan membuat sistem volume ReFS tidak tersedia.

Dalam dua hari setelah rilis 11 Januari, Microsoft telah mencabut pembaruan kumulatif Windows Server Januari, membuatnya tidak tersedia melalui Pembaruan Windows.

Eksploitasi proof-of-concept (PoC) untuk CVE-2022-21882, yang telah ditangani Microsoft sebagai bagian dari pembaruan Patch Tuesday Januari 2022, telah tersedia di alam liar selama beberapa minggu. PoC dirilis oleh Gil Dabah, pendiri dan CEO Privacy Piiano, yang menawarkan “PII by design.”

Seperti yang di-tweet Dabah pada 28 Januari, dia menemukan bug itu dua tahun lalu tetapi memutuskan untuk tidak melaporkannya pada saat itu, mengingat bahwa Microsoft masih berutang uang kepadanya untuk “hal-hal lain,” seperti yang dia klaim. Selain itu, dia tidak senang dengan penghargaan hadiah bug Microsoft yang menyusut, yang “mengurangi penghargaan menjadi hampir tidak ada,” kata Dabah.

Pada hari Jumat, CISA mengatakan bahwa mereka menambahkan bug ke database kerentanan yang diketahui dieksploitasi berdasarkan bukti bahwa aktor ancaman secara aktif mengeksploitasinya. Meskipun tenggat waktu perbaikan CISA hanya berlaku untuk agensi FCEB, CISA bergoyang, dan berharap dapat menggunakannya untuk meyakinkan pakaian non-federal untuk menambal.

Sumber : Threat Post

Bug Samba dapat membiarkan penyerang jarak jauh mengeksekusi kode sebagai root

by

Samba telah mengatasi kerentanan tingkat keparahan kritis yang memungkinkan penyerang mendapatkan eksekusi kode jarak jauh dengan hak akses root pada server yang menjalankan perangkat lunak yang rentan.

Kerentanan, dilacak sebagai CVE-20211-44142 dan dilaporkan oleh Orange Tsai dari DEVCORE, adalah tumpukan baca/tulis di luar batas yang ada dalam modul vfs_fruit VFS saat mengurai metadata EA saat membuka file dalam smbd.

“Masalah di vfs_fruit ada di konfigurasi default modul VFS fruit menggunakan fruit:metadata=netatalk atau buah:sumber daya=file,” Samba menjelaskan dalam penasihat keamanan yang diterbitkan hari ini.

Modul vfs_fruit rentan dirancang untuk memberikan peningkatan kompatibilitas dengan klien Apple SMB dan server file Netatalk 3 AFP.

Menurut Pusat Koordinasi CERT (CERT/CC), daftar platform yang terpengaruh oleh kerentanan ini termasuk Red Hat, SUSE Linux, dan Ubuntu.

Penyerang dapat mengeksploitasi kelemahan dalam serangan dengan kompleksitas rendah tanpa memerlukan interaksi pengguna jika server yang ditargetkan menjalankan instalasi Samba sebelum versi 4.13.17, rilis yang membahas bug ini.

Sementara konfigurasi default terkena serangan, pelaku ancaman yang ingin menargetkan kerentanan ini akan memerlukan akses tulis ke atribut file yang diperluas.

Administrator disarankan untuk menginstal rilis 4.13.17, 4.14.12, dan 4.15.5 yang diterbitkan hari ini atau menerapkan patch yang sesuai untuk memperbaiki kerusakan keamanan sesegera mungkin.

Samba juga menyediakan solusi untuk admin yang tidak dapat segera menginstal rilis terbaru, yang mengharuskan mereka untuk menghapus ‘buah’ dari baris ‘objek vfs’ di file konfigurasi Samba mereka.

Namun, seperti yang dicatat oleh Tim Samba, “mengubah pengaturan modul VFS fruit:metadata atau fruit:resource untuk menggunakan pengaturan yang tidak terpengaruh menyebabkan semua informasi yang disimpan tidak dapat diakses dan akan membuatnya tampak seperti informasi hilang bagi klien macOS.”

Sumber : Bleeping Computer

Bug Linux Memberikan Root pada Semua Distro Utama, Eksploitasi Dirilis

by

Kerentanan dalam komponen pkexec Polkit yang diidentifikasi sebagai CVE-2021-4034 (PwnKit) hadir dalam konfigurasi default semua distribusi Linux utama dan dapat dimanfaatkan untuk mendapatkan hak istimewa root penuh pada sistem, para peneliti memperingatkan hari ini.

CVE-2021-4034 telah diberi nama PwnKit dan asal-usulnya telah dilacak ke komitmen awal pkexec, lebih dari 12 tahun yang lalu, yang berarti bahwa semua versi Polkit terpengaruh.

Bagian dari kerangka aplikasi open-source Polkit yang menegosiasikan interaksi antara proses istimewa dan tidak mampu, pkexec memungkinkan pengguna yang berwenang untuk menjalankan perintah sebagai pengguna lain, dua kali lipat sebagai alternatif untuk sudo.

Mudah dieksploitasi, PoC diharapkan segera

Para peneliti di perusahaan keamanan informasi Qualys menemukan bahwa program pkexec dapat digunakan oleh penyerang lokal untuk meningkatkan hak istimewa untuk membasmi instalasi default Ubuntu, Debian, Fedora, dan CentOS.

Mereka memperingatkan bahwa PwnKit kemungkinan dapat dieksploitasi pada sistem operasi Linux lainnya juga.

Bharat Jogi, Direktur Kerentanan dan Penelitian Ancaman di Qualys menjelaskan bahwa PwnKit adalah “kerentanan korupsi memori di Polkit, yang memungkinkan setiap pengguna yang tidak mampu untuk mendapatkan hak istimewa root penuh pada sistem yang rentan menggunakan konfigurasi polkit default,”

Peneliti mencatat bahwa masalah ini telah bersembunyi di depan mata sejak versi pertama pkexec inn Mei 2009. Video di bawah ini menunjukkan eksploitasi bug:

Mengeksploitasi cacat itu sangat mudah, kata para peneliti, bahwa kode eksploitasi proof-of-concept (PoC) diperkirakan akan menjadi publik hanya dalam beberapa hari. Tim Peneliti Qualys tidak akan merilis PoC untuk PwnKit.

Pembaruan: Eksploitasi telah muncul di ruang publik, kurang dari tiga jam setelah Qualys menerbitkan rincian teknis untuk PwnKit. BleepingComputer telah menyusun dan menguji eksploitasi yang tersedia, yang terbukti dapat diandalkan karena memberi kita hak istimewa root pada sistem pada semua upaya.

Mengacu pada eksploitasi, analis kerentanan CERT / CC Will Dormann mengatakan bahwa itu sederhana dan universal. Peneliti lebih lanjut mengujinya pada sistem ARM64, menunjukkan bahwa ia bekerja pada arsitektur itu juga.

Qualys melaporkan masalah keamanan secara bertanggung jawab pada 18 November 2021, dan menunggu patch tersedia sebelum menerbitkan rincian teknis di balik PwnKit.

Perusahaan sangat merekomendasikan administrator memprioritaskan penerapan patch yang penulis Polkit dirilis di GitLab mereka beberapa jam yang lalu.

Distro Linux memiliki akses ke patch beberapa minggu sebelum pengungkapan terkoordinasi hari ini dari Qualys dan diharapkan untuk merilis paket pkexec diperbarui mulai hari ini.

Ubuntu telah mendorong pembaruan untuk PolicyKit untuk mengatasi kerentanan dalam versi 14.04 dan 16.04 ESM (pemeliharaan keamanan diperpanjang) serta dalam versi yang lebih baru 18.04, 20.04, dan 21.04. Pengguna hanya perlu menjalankan pembaruan sistem standar dan kemudian me-reboot komputer agar perubahan berlaku.

Red Hat juga telah memberikan pembaruan keamanan untuk polkit pada workstation dan produk Enterprise untuk arsitektur yang didukung, serta untuk dukungan siklus hidup yang diperpanjang, TUS, dan AUS.

Mitigasi sementara untuk sistem operasi yang belum mendorong patch adalah untuk melucuti hak baca / tulis dengan perintah berikut:
chmod 0755 /usr/bin/pkexec

Pengguna yang ingin mencari tanda-tanda eksploitasi PwnKit dapat melakukannya dengan memeriksa log untuk “Nilai untuk variabel SHELL tidak ditemukan file / etc / shells” atau “Nilai untuk variabel lingkungan […] berisi konten yang mencurigakan.”

Namun, Qualys mencatat bahwa mengeksploitasi PwnKit adalah mungkin tanpa meninggalkan jejak.

Tahun lalu, peneliti GitHub Security Lab Kevin Backhouse menemukan kerentanan eskalasi hak istimewa lama lainnya yang mempengaruhi Polkit.

Bug telah hadir selama tujuh tahun, sejak versi 0.113 dari komponen dan mempengaruhi distro Linux populer termasuk RHEL 8, Fedora 21 (atau lebih baru), Ubuntu 20.04, dan versi debian yang tidak stabil (‘bullseye’) dan turunannya.

Pembaruan [25 Januari, 17:26 EST]: Menambahkan pemberitahuan keamanan pada PolicyKit / Polkit dari Ubuntu dan Red Hat.

Pembaruan [25 Januari, 17:43 EST]: Artikel diperbarui dengan informasi tentang kode eksploitasi proof-of-concept yang tersedia untuk umum.

Sumber: Bleepingcomputer

Google Drive menandai file yang hampir kosong karena ‘pelanggaran hak cipta’

by

Pengguna dibuat terkejut karena sistem deteksi otomatis Google Drive menandai file yang hampir kosong karena pelanggaran hak cipta.

Asisten Profesor di Michigan State University, Dr. Emily Dolson, Ph.D. melaporkan melihat beberapa perilaku aneh saat menggunakan Google Drive.

Salah satu file di Google Drive Dolson, ‘output04.txt’ hampir kosong—tanpa apa pun selain angka ‘1’ di dalamnya.

Tetapi menurut Google, file ini melanggar “kebijakan Pelanggaran Hak Cipta” perusahaan dan karenanya ditandai.

Dan yang lebih parah, peringatan yang dikirimkan kepada profesor tersebut diakhiri dengan “Sebuah tinjauan tidak dapat diminta untuk pembatasan ini.”

File Dolson ‘output04.txt’ disimpan di jalur ‘CSE 830 Spring 2022/Testcases/Homework3/Q3/output’ di Drive yang membuat profesor bertanya-tanya apakah jalur file mungkin berkontribusi pada alarm palsu.

Pengguna pseudonim juga membagikan tangkapan layar akun Google Drive mereka di mana file yang hanya berisi angka “1”—dengan atau tanpa karakter baris baru, ditandai.

File dengan ‘1’ juga ditandai oleh Google Drive karena pelanggaran hak cipta (Imgur)

Dan, ternyata perilaku itu tidak terbatas hanya pada file yang berisi angka “1.”

Dr. Chris Jefferson, Ph.D., seorang peneliti AI dan matematika di University of St Andrews, juga dapat masalah saat mengunggah beberapa file yang dihasilkan komputer ke Drive.

Jefferson menghasilkan lebih dari 2.000 file, masing-masing hanya berisi angka antara -1000 dan 1000.

File yang berisi angka 173, 174, 186, 266, 285, 302, 336, 451, 500, dan 833 segera ditandai oleh Google Drive karena pelanggaran hak cipta.

Beberapa orang menuduh bahwa jika file tersebut hanya berisi angka “0”, Google akan menonaktifkan akun Anda secara permanen, meskipun hasilnya lebih mungkin berlaku untuk pengguna yang dianggap oleh Google sebagai pelanggar berulang.

Mikko Ohtamaa, pendiri perusahaan Defi Capitalgram, menuduh bahwa gaya otomatis Google dalam menandai kandidat yang diduga melanggar hak cipta dapat menimbulkan masalah dengan bagian dari undang-undang GDPR.

Pasal 22 GDPR alias “pengambilan keputusan individu otomatis, termasuk pembuatan profil,” lebih khusus mengacu pada pembuatan keputusan otomatis tentang individu dengan membuat profil perilaku online mereka, seperti sebelum memberikan pinjaman atau saat membuat keputusan perekrutan, seperti yang dijelaskan oleh ICO Inggris.

Pada tahun 2018, Google menerbitkan dokumen terperinci yang menjelaskan bagaimana perusahaan memerangi pembajakan. Tetapi ketika secara khusus berbicara tentang Google Drive, laporan tersebut menyatakan “rekayasa penyalahgunaan waktu penuh team” dibentuk oleh Google untuk menangani streaming ilegal yang disajikan di Google Drive. Karena itu, tidak banyak informasi yang tersedia tentang cara algoritme Google memproses konten non-video yang disimpan di Drive.

Selengkapnya : Bleeping Computer

Google Mendeskripsikan Dua Bug Zero-Day yang Dilaporkan di Klien Zoom dan Server MMR

by

Eksplorasi permukaan serangan nol klik untuk solusi konferensi video populer Zoom telah menghasilkan dua kerentanan keamanan yang sebelumnya tidak diungkapkan yang dapat dieksploitasi untuk merusak layanan, mengeksekusi kode berbahaya, dan bahkan membocorkan area sewenang-wenang dari memorinya.

Natalie Silvanovich dari Google Project Zero, yang menemukan dan melaporkan dua kekurangan tahun lalu, mengatakan masalah tersebut berdampak pada klien Zoom dan server Multimedia Router (MMR), yang mengirimkan konten audio dan video antara klien dalam penyebaran di tempat.

Kelemahan sejak itu telah ditangani oleh Zoom sebagai bagian dari pembaruan yang dikirim pada 24 November 2021.

Tujuan dari serangan nol-klik adalah untuk diam-diam mendapatkan kontrol atas perangkat korban tanpa memerlukan interaksi apa pun dari pengguna, seperti mengklik tautan.

Sementara spesifik dari eksploitasi akan bervariasi tergantung pada sifat kerentanan yang dieksploitasi, sifat kunci dari hacks nol-klik adalah kemampuan mereka untuk tidak meninggalkan jejak aktivitas berbahaya, membuat mereka sangat sulit untuk dideteksi.

Dua kelemahan yang diidentifikasi oleh Project Zero adalah sebagai berikut –

  • CVE-2021-34423 (skor CVSS: 9.8) – Kerentanan buffer overflow yang dapat dimanfaatkan untuk merusak layanan atau aplikasi, atau mengeksekusi kode sewenang-wenang.
  • CVE-2021-34424 (skor CVSS: 7.5) – Cacat paparan memori proses yang dapat digunakan untuk berpotensi mendapatkan wawasan tentang area sewenang-wenang dari memori produk.

Dengan menganalisis lalu lintas RTP (Real-time Transport Protocol) yang digunakan untuk mengirimkan audio dan video melalui jaringan IP, Silvanovich menemukan bahwa adalah mungkin untuk memanipulasi isi buffer yang mendukung membaca berbagai jenis data dengan mengirim pesan obrolan yang cacat, menyebabkan klien dan server MMR macet.

Selain itu, kurangnya pemeriksaan NULL – yang digunakan untuk menentukan akhir string – memungkinkan untuk membocorkan data dari memori saat bergabung dengan rapat Zoom melalui browser web.

Peneliti juga mengaitkan cacat korupsi memori dengan fakta bahwa Zoom gagal mengaktifkan ASLR, alias pengacakan tata letak ruang alamat, mekanisme keamanan yang dirancang untuk meningkatkan kesulitan melakukan serangan buffer overflow.

“Kurangnya ASLR dalam proses Zoom MMR sangat meningkatkan risiko bahwa penyerang dapat membahayakannya,” kata Silvanovich. “ASLR bisa dibilang mitigasi yang paling penting dalam mencegah eksploitasi korupsi memori, dan sebagian besar mitigasi lainnya bergantung padanya pada tingkat tertentu agar efektif. Tidak ada alasan yang baik untuk itu untuk dinonaktifkan di sebagian besar perangkat lunak. ”

Sementara sebagian besar sistem konferensi video menggunakan perpustakaan open-source seperti WebRTC atau PJSIP untuk menerapkan komunikasi multimedia, Project Zero menyebut penggunaan format dan protokol berpemilik Zoom serta biaya lisensinya yang tinggi (hampir $ 1.500) sebagai hambatan untuk penelitian keamanan.

“Perangkat lunak sumber tertutup menghadirkan tantangan keamanan yang unik, dan Zoom dapat berbuat lebih banyak untuk membuat platform mereka dapat diakses oleh peneliti keamanan dan orang lain yang ingin mengevaluasinya,” kata Silvanovich. “Sementara Tim Keamanan Zoom membantu saya mengakses dan mengkonfigurasi perangkat lunak server, tidak jelas bahwa dukungan tersedia untuk peneliti lain, dan lisensi perangkat lunak itu masih mahal.”

Sumber: The Hacker News