Zoomが重大なセキュリティ脆弱性を公表、ユーザーに警鐘

Last Updated on 2024-06-26 12:42 by 門倉 朋宏

ビデオ会議大手のZoomは、その製品に影響を与える新たなセキュリティ脆弱性の一連を公表した。これには、特権昇格を可能にする重大な脆弱性が含まれている。この脆弱性はCVE-2024-24691として追跡され、CVSSスコアは9.6と評価されている。Zoomによると、この脆弱性は認証されていないユーザーがネットワークアクセスを介して特権昇格を可能にする可能性がある。影響を受ける製品には、Windows版のZoomデスクトップクライアント、VDIクライアント、Roomsクライアント、およびZoom Meeting SDKが含まれる。この脆弱性はZoomの攻撃的セキュリティ部門の研究者によって報告されたが、野外での悪用が検出されたかどうかについては言及されていない。

また、不適切な入力検証の脆弱性を含む他の脆弱性も更新のラウンドで修正された。これらの脆弱性のほとんどは中程度の重大度であるが、一つは例外である。修正された他の脆弱性には以下が含まれる：

– CVE-2024-24690: 様々なZoomクライアントに影響を与える中程度の重大度（5.4）の欠陥で、DoS攻撃を可能にする可能性がある。
– CVE-2024-24695: 情報開示につながる可能性があるもう一つの中程度の重大度（6.8）の脆弱性。攻撃者は認証される必要がある。
– CVE-2024-24696: 上記の不適切な入力検証の問題と同様。同じ重大度で、同じクライアントに影響を与え、同じ結果になる。この問題は会議中のチャット機能に関連している。
– CVE-2024-24697: ここで唯一の高重大度（7.2）の脆弱性。一部の32ビットWindowsクライアントに影響を与え、認証された攻撃者によるローカル特権昇格を可能にする。
– CVE-2024-24698: Zoomデスクトップアプリ（Windows、Mac、Linux）、モバイルアプリ（AndroidおよびiOS）、VDIクライアント、Roomsクライアント、およびMeeting SDKに影響を与える中程度の重大度（4.9）の問題。これは不適切な認証の脆弱性で、情報の開示につながる可能性がある。
– CVE-2024-24699: すべてのデスクトップおよびモバイルアプリ、Meeting SDK、VDIおよびRoomsクライアントに影響を与える中程度の重大度（6.5）の欠陥で、ネットワーク上での情報開示につながる可能性がある。

各アドバイザリーで特定のバージョンが影響を受けるため、詳細を確認することが推奨される。

【ニュース解説】

ビデオ会議サービスを提供するZoomが、自社製品に影響を及ぼす新たなセキュリティ脆弱性を公開しました。この中には、特に重大な特権昇格の脆弱性が含まれており、攻撃者が認証されていないにも関わらず、ネットワークアクセスを通じてシステム上での権限を不正に昇格させることが可能になる恐れがあります。この脆弱性は、Windows版のZoomデスクトップクライアント、VDIクライアント、Roomsクライアント、およびZoom Meeting SDKに影響を及ぼすとされています。

この脆弱性の発見は、Zoom自身の攻撃的セキュリティ部門によってなされましたが、実際に野外で悪用された事例があるかどうかについては明らかにされていません。しかし、その重大性から、ユーザーは速やかに最新バージョンへのアップデートを行うべきであると警告されています。

さらに、Zoomは他にもいくつかのセキュリティ脆弱性を修正しました。これらには、不適切な入力検証に関連する脆弱性や、情報開示、サービス拒否（DoS）攻撃を可能にする可能性のある脆弱性などが含まれています。これらの脆弱性の多くは中程度の重大度と評価されていますが、一部には高重大度のものもあります。

このようなセキュリティ脆弱性の公表と修正は、サイバーセキュリティの継続的な取り組みの一環として重要です。特に、Zoomのような広く利用されているサービスにおいては、多くの個人や企業が日常的に依存しているため、潜在的なセキュリティリスクを最小限に抑えることが不可欠です。

このニュースは、ユーザーに対してセキュリティアップデートの重要性を再認識させるとともに、企業が自社の製品を定期的に監査し、脆弱性を積極的に修正することの重要性を示しています。また、サイバーセキュリティの専門家や研究者が、新たな脆弱性を発見し報告することで、より安全なデジタル環境の構築に貢献していることも強調されます。

長期的には、このようなセキュリティの取り組みが、より堅牢なセキュリティ対策の開発、そしてユーザーの意識向上に繋がることが期待されます。しかし、同時に、攻撃者も常に新たな攻撃手法を模索しているため、セキュリティは常に進化し続ける分野であるという認識を持つことが重要です。

from Zoom stomps critical privilege escalation bug plus 6 other flaws.