受疫情影響越來(lái)越多的人開(kāi)始在家遠(yuǎn)程辦公，這也讓 Zoom 這款在線視頻會(huì)議水漲船高。在使用度、熱度持續(xù)攀升的同時(shí)，不重視用戶隱私、存在諸多安全漏洞等各種負(fù)面內(nèi)容也接踵而至。迫使公司宣布凍結(jié)新功能發(fā)布 90 天，以修復(fù)當(dāng)前軟件中存在的各種漏洞。
今天，安全研究人員 Tom Anthony 公布了 Zoom 的一個(gè)關(guān)鍵安全漏洞。通過(guò)這個(gè)漏洞，任何人都可以加入受密碼保護(hù)的 Zoom 會(huì)議。Zoom 會(huì)議默認(rèn)由 6 位數(shù)字密碼保護(hù)。所以，有可能出現(xiàn) 100 萬(wàn)個(gè)不同的密碼。
Tom 發(fā)現(xiàn)，Zoom的網(wǎng)絡(luò)客戶端允許任何人檢查會(huì)議的密碼是否正確，沒(méi)有任何嘗試次數(shù)的限制。因此，攻擊者可以寫(xiě)一個(gè)小的 Python 代碼來(lái)嘗試所有的 100 萬(wàn)個(gè)密碼，并在幾分鐘內(nèi)找到正確的密碼。
在 Tom 向 Zoom 報(bào)告了這個(gè)問(wèn)題之后，Zoom 的網(wǎng)絡(luò)客戶端就進(jìn)行了離線維護(hù)。Zoom 要求用戶在 web 客戶端中登錄加入會(huì)議，以及更新默認(rèn)會(huì)議密碼為非數(shù)字和更長(zhǎng)的密碼來(lái)緩解這個(gè)問(wèn)題。
盡管這個(gè)問(wèn)題現(xiàn)在已經(jīng)被修復(fù)，但它引發(fā)了以下令人不安的問(wèn)題---是否已經(jīng)有攻擊者利用這個(gè)漏洞來(lái)監(jiān)聽(tīng)其他人的視頻會(huì)議？例如政府會(huì)議？
