Um conjunto de vulnerabilidades na ferramenta de anotação do Zoom permitia que um atacante assumisse o controlo total do computador ou telemóvel de outro participante durante uma videochamada. O problema afetava ambos os lados da comunicação: quem partilhava o ecrã podia invadir o dispositivo de quem assistia, e qualquer espectador conseguia executar o mesmo ataque contra o apresentador.

As falhas não exigiam qualquer interação por parte da vítima. Bastava estar presente na reunião, sem necessidade de clicar em hiperligações, descarregar ficheiros ou autorizar permissões. Todo o processo decorria em segundo plano, sem emitir alertas visíveis no ecrã.

As vulnerabilidades foram identificadas pela startup de segurança A Security. Segundo a empresa, a descoberta e a criação de um código de exploração funcional exigiram menos de um dia de trabalho, recorrendo a modelos de inteligência artificial acessíveis ao público e a menos de duas dezenas de instruções em texto.

O tempo necessário para identificar este tipo de brecha diminuiu de forma drástica. O cofundador da empresa, Omer Gull, destacou que a mesma análise exigiria anteriormente cerca de seis meses de trabalho a uma equipa de cinco especialistas. A confiança generalizada no Zoom transforma a plataforma num alvo frequente, uma vez que os utilizadores raramente a percencionam como um vetor de risco.

O mecanismo técnico do ataque

A origem do problema residia no protocolo de anotação em tempo real, o recurso que permite desenhar ou escrever sobre um ecrã partilhado. Na reconstrução técnica elaborada pela A Security — dada a ausência de detalhes internos revelados pelo Zoom —, cada desenho enviado por um participante é convertido num objeto de dados transmitido como uma sequência de contagens seguida do conteúdo propriamente dito.

Uma das falhas permitia o preenchimento de uma memória intermédia (buffer) fixa de 128 bytes sem a devida verificação dos limites de espaço. Como esse campo estava situado no final do objeto, uma contagem alterada ultrapassava a capacidade reservada e sobrescrevia o endereço de retorno na memória do sistema.

A dimensão do risco para todos os presentes na sala resultava da falta de validação sobre a origem das mensagens. O sistema do Zoom processava o tipo numérico do pacote e encaminhava-o ao módulo correspondente, sem confirmar se o remetente tinha o estatuto de apresentador ou de mero espectador.

Divergências na avaliação da gravidade

O Zoom atribuiu às três falhas pontuações entre 6,5 e 8,3 na escala CVSS (Common Vulnerability Scoring System). A vulnerabilidade mais grave permitia a escrita de dados fora do espaço de memória alocado, abrindo porta à execução arbitrária de comandos no dispositivo afetado. Uma segunda falha facilitava a leitura não autorizada de dados da memória, enquanto a terceira envolvia uma gestão incorreta de memória (use-after-free), também passível de exploração para o controlo do equipamento.

A A Security classifica as três vulnerabilidades com a nota 9,0, um nível superior ao indicado pelo fabricante. A disparidade justifica-se pela utilização de uma versão mais recente da escala CVSS por parte da empresa de investigação, métrica ainda não adotada nos boletins oficiais do Zoom.

Versões afetadas e atualizações disponíveis

As vulnerabilidades abrangem o software Zoom Workplace em todas as plataformas suportadas, o cliente VDI para Windows, o Zoom Rooms e o Zoom Meeting SDK. As correções foram distribuídas entre junho e julho, cerca de dois meses antes da divulgação pública do problema. Atualmente, nenhum dos identificadores consta da lista de vulnerabilidades exploradas em ambiente real mantida pela agência norte-americana CISA.

Os boletins de segurança do fabricante indicam a necessidade de interação do utilizador para a execução do ataque, ponto que contradiz a análise da A Security, que classifica a exploração como totalmente automática (zero-click). A autoria da descoberta da falha de gestão de memória é atribuída a um investigador interno do Zoom, ficando as restantes duas creditadas a Idan Levcovich, da A Security.

Conforme alertado pelos investigadores, o acesso indevido obtido através desta brecha poderia permitir a extração de credenciais e servir de ponto de partida para a movimentação lateral dentro das redes corporativas.