Plusieurs failles sur l'application de vidéoconférence ZOOM ont été repérées par des chercheurs en cybersécurité néerlandais. En les exploitant, il leur a été possible de prendre le contrôle d'un ordinateur à distance.
Ces derniers mois, ZOOM avait communiqué à plusieurs reprises pour vanter ses progrès en matière de sécurité, alors que des voix s'élevaient pour pointer du doigt les vulnérabilités dont souffraient le logiciel de visioconférence, qui accueillait chaque jour un nombre d'utilisateurs plus important. Mais les révélations de chercheurs en cybersécurité néerlandais mettent une nouvelle fois à mal l'entreprise américaine. Ce ne sont pas une, ni deux, mais trois failles zero-day de sécurité qui ont été dévoilées par messieurs Daan Keuper et Thijs Alkemade.
Une prise de contrôle de votre machine à distance, sans même vous en apercevoir
Les trois failles zero-day découvertes sont assez problématiques, pour ne pas dire « graves », puisqu'elles permettent à un éventuel pirate informatique de prendre le contrôle de votre PC ou de Mac, sans même que vous puissiez vous en apercevoir.
L'avantage, si tant est qu'il y en ait un, est qu'il s'agit de failles de type zero-day. Pour information, une vulnérabilité zero-day consiste en une faille pour laquelle aucun correctif n'a encore été publié. Son effet de surprise permet aux hackers d'en profiter avant que les entreprises concernées ou les chercheurs en sécurité s'aperçoivent de la vulnérabilité. Mais cela limite en même temps la propagation de la connaissance de cette faille.
C'est dans le cadre du concours de hacking Pwn2Own, organisé deux fois par an, que les chercheurs ont découvert ces vulnérabilités. Une découverte qui leur rapporte tout de même la bagatelle de 200 000 euros. D'autres chercheurs ont aussi décroché 200 000 euros en découvrant une faille permettant à un pirate d'exécuter du code arbitraire sur un ordinateur, en utilisant un logiciel concurrent : Microsoft Teams.
Seul l'outil « Chat » de ZOOM est vulnérable
Les deux hackers éthiques de l'entreprise néerlandaise Computest n'ont eu qu'à s'assurer, pour exploiter les failles, que l'application ZOOM était en cours d'exécution sur les machines ciblées, qu'il s'agisse de la version Windows ou du client de bureau pour Mac. Ils ont ainsi eu accès au microphone et à la webcam des appareils, mais aussi à l'ensemble des fichiers des ordinateurs. Ils ont même pu procéder au téléchargement de l'historique de navigation Web des machines touchées.
Si ZOOM n'a pas réagi dans un premier temps, les équipes de l'application ont fini par communiquer et indiquer que seule Zoom Chat, la messagerie du groupe, était concernée. Les « salles de réunion » et webinaires du logiciel ne sont, eux, pas touchés. La firme américaine a affirmé être en train de travailler à la résolution du problème.
Source : Tom's Guide
