Gênantes vulnérabilités dans Zoom, qui s’en fiche un peu

A quel point peut-on sacrifier la sécurité des utilisateurs au confort d’utilisation d’une solution ? Deux failles se nichent dans l’outil de vidéoconférence, l’une permettant de forcer un utilisateur à rejoindre un appel, l’autre d’activer par défaut leur caméra. Mais pour Zoom, ces vulnérabilités sont trop peu sévères pour justifier une réduction de l’ergonomie.

Zoom, c’est formidable ! L’outil de vidéoconférence a cet avantage de proposer à ses utilisateurs de rejoindre une conversation en cliquant sur un simple lien. Pas de fenêtre de demande de confirmation, un clic et le tour est joué. Jonathan Leitschuh, un chercheur en cybersécurité, s’est penché sur cette fonctionnalité et y a découvert deux belles vulnérabilités.

Sur Mac, à partir du moment où un utilisateur a installé l’application Zoom, celle-ci a fait du terminal un serveur web local : c’est par son biais qu’un clic sur un lien ouvre le client Zoom. Premier souci, pointe le chercheur, « ce serveur Web peut faire beaucoup plus que simplement lancer une réunion Zoom. Ce que j’ai découvert, c’est que ce serveur Web peut également réinstaller l’application Zoom si un utilisateur l’a désinstallée ».

Je vous vois

Parmi les différents paramètres envoyés au serveur Web par la page du lien Zoom, Jonathan Leitschuh en a déniché deux de première importance : « action=join » et « confno=[whatever the conference number is] ». A l’aide d’une requête GET exploitant ces deux paramètres, il a pu faire en sorte que son ordinateur rejoigne un appel initié par un autre compte. Concrètement, cette découverte implique qu’un site Web malveillant peut forcer un internaute à rejoindre un appel Zoom.

Rien de très grave a priori, si ce n’est deux choses. La première est que cette vulnérabilité peut avoir pour résultat un déni de service visant le terminal de la victime, en le forçant à boucler sur des appels non valides. La deuxième, cerise sur le gâteau, se trouve dans les réglages d’un appel Zoom. Le créateur d’une vidéoconférence peut en effet définir l’activation par défaut de la caméra et du microphone des participants lorsqu’ils rejoignent l’appel.

« Le serveur Web Zoom du client local s’exécute en arrière-plan. Par conséquent, pour l’exploiter, il n’est même pas nécessaire que l’utilisateur exécute (au sens traditionnel du terme) l’application Zoom pour être vulnérable » explique le chercheur. « Tout ce qu'un site Web doit faire est d'intégrer ce qui précède [la requête GET] à son site Web et tout utilisateur de Zoom sera instantanément connecté et sa vidéo en cours d'exécution ».

Confort vs sécurité

Prévenu il y a plus de trois mois, Zoom ne s’est guère empressé de corriger le tir. Tout juste l’entreprise a-t-elle fait en sorte d’empêcher l’activation par défaut de la caméra. Sur Medium, le délai de non-divulgation de 90 jours étant écoulé, le chercheur livre ses conclusions. « Avoir pour chaque utilisateur de Zoom un serveur Web acceptant les requêtes HTTP GET qui déclenchent du code en dehors du sandbox du navigateur, cela représente une énorme cible dans le dos de Zoom » signale-t-il.

Zoom a réagi de façon assez… inattendue. Concernant le risque de DOS, il reconnaît le problème et signale avoir publié un correctif en mai (qui selon le chercheur ne résout rien) sans toutefois contraindre ses utilisateurs à l’installer « parce qu'il s'agit empiriquement d'une vulnérabilité à faible risque ». Quant au serveur web localhost et son fonctionnement, Zoom écrit qu’il s’agit d’une solution « de contournement à une modification introduite dans Safari 12 qui nécessite qu'un utilisateur confirme qu'il souhaite démarrer le client Zoom avant de rejoindre chaque réunion. Le serveur Web local permet aux utilisateurs d'éviter ce clic supplémentaire avant de rejoindre chaque réunion ». Et de soutenir sa décision, et le fait qu’il n’y apportera aucun changement, au nom de l’expérience utilisateur.

« Nous avons déterminé que les problèmes du DOS et de rejoindre une réunion avec la caméra posaient un risque faible car, dans le cas de la DOS, aucune information d'utilisateur n'était en danger et, dans le cas de la participation à la réunion, les utilisateurs pouvaient choisir leurs réglages » ajoute Zoom. Le chercheur, quant à lui, fournit dans sa publication plusieurs méthodes d’atténuation du problème.