ビデオ会議「Zoom」のクライアントなどに脆弱性 - アップデートで修正

ビデオ会議サービスを展開するZoomは、アドバイザリを公開し、複数の脆弱性に対処した。

3月14日にアドバイザリ5件を公開し、クライアントやインストーラなどに明らかとなった権限昇格や情報漏洩、サービス拒否などあわせて6件の脆弱性を修正したもの。

重要度がもっとも高い「クリティカル（Critical）」とされる脆弱性は含まれていない。次に高い「高（High）」とされる脆弱性が2件含まれる。

「CVE-2023-28597」は、クライアントソフトに明らかとなった脆弱性で、「SMB」において信頼できる境界の実装に不備があるという。隣接ネットワークに悪意あるSMBサーバを設置できる場合、ZoomのウェブポータルからSMBロケーションに保存されたローカルレコーディングを開く際、実行ファイルを開かせることが可能だった。

また「Zoom Client for IT Admin Windows」のインストーラに脆弱性「CVE-2023-22883」が存在。インストール時に悪用された場合、「SYSTEM」権限を取得されるおそれがある。共通脆弱性評価システム「CVSSv3.1」のベーススコアは、それぞれ「8.3」「7.2」。

このほか、「中（Medium）」とされる脆弱性4件も明らかとなった。同社はアップデートにて修正しており、最新版を利用するようユーザーへ呼びかけている。今回修正した脆弱性は以下のとおり。

CVE-2023-28596
CVE-2023-28597
CVE-2023-22880
CVE-2023-22881
CVE-2023-22882
CVE-2023-22883

（Security NEXT - 2023/03/20 ） ツイート

PR

関連記事

Cisco、9月16日にセキュリティアドバイザリを公開予定
Check PointのVPN機能に深刻なRCE脆弱性 - ライブパッチや更新を提供
「Adobe Acrobat/Reader」にセキュリティ更新 - 脆弱性32件を解消
「FortiOS」や「NetScaler」など脆弱性4件の悪用を警告 - 米当局
米CISA、悪用脆弱性リストに4件を追加
施設職員がサポート詐欺被害、PC内部に個人情報 - 大田区
学生の複数アカウントに不正アクセス、スパム踏み台に - 立教大
覆面調査サービスにPWリスト攻撃 - なりすましによるポイント交換も
講演会の申込フォームで個人情報が閲覧可能に - 早島町
「Ivanti Neurons for ITSM」に複数脆弱性 - 6件が「クリティカル」