Sicherheitsproblem in Screen Sharing-Funktionalität von Zoom (SYSS-2020-044/CVE-2021-28133)

In unserem neuen SySS Proof of Concept Video: Zoom Unintended Screen Sharing Issue wird ein Sicherheitsproblem in der Screen Sharing-Funktion der Videokonferenzsoftware Zoom demonstriert, die von unserem IT-Sicherheitsexperten Michael Strametz Ende letzten Jahres gefunden wurde.

Zoom ermöglicht es Benutzern, Inhalte ihres Bildschirms mit anderen Meeting-Teilnehmern zu teilen. Dabei kann der gesamte Bildschirm, ein oder mehrere Anwendungsfenster oder nur ein ausgewählter Bildschirmbereich zum Teilen ausgewählt werden.

Die Screen Sharing-Funktionalität von Zoom besitzt dabei einen Fehler, der unter gewissen Voraussetzungen kurzzeitig auch Bildschirminhalte, die nicht freigegeben wurden, per Videostream an alle Meeting-Teilnehmer überträgt. Dieses Problem tritt zuverlässig reproduzierbar beim Teilen eines Anwendungsfensters auf, das entweder beim Öffnen (unter Windows) oder beim Schließen (unter Linux) einer weiteren, nicht geteilten Anwendung mit dessen Anwendungsfenster überlagert wird. Die Inhalte des explizit nicht geteilten Anwendungsfensters können dabei für einen kurzen Moment (wenige Einzelbilder, Frames) im Videostream wahrgenommen werden.

Falls ein Meeting-Teilnehmer das entsprechende Zoom-Meeting unter Verwendung einer Screen Recorder-Software aufzeichnet, hat er so später möglicherweise Zugriff auf sensible Daten anderer Benutzer, auch wenn diese nur in wenigen Frames sichtbar waren. Abhängig von den unbeabsichtigt geteilten Daten stellt diese kurze Übermittlung von Bildschirminhalten ein mehr oder weniger großes Sicherheitsproblem dar.

Detaillierte Informationen zu dieser gefundenen Schwachstelle finden Sie in unserem Security Advisory / You will find detailed information about these security issues in our Security Advisory:

• SYSS-2020-044: Zoom - Exposure of Resource to Wrong Sphere (CWE-668) (CVE-2021-28133)

Die aktuelle Version 5.5.4 (13142.0301) der Zoom-Clientsoftware ist immer noch von diesem Sicherheitsproblem betroffen.

Weitere Informationen über unsere Responsible Disclosure Policy bei der Veröffentlichung von Security Advisories finden Sie hier.

You will find further information about our Responsible Disclosure Policy concerning the publishing process of SySS Security Advisories here.