Zoom-ის Windows-ვერსიაში თავდამსხმელებს ქსელიდან უფლებების გაზრდა შეუძლიათ

ვიდეოკონფერენციის პროგრამა Zoom ორი ხარვეზით გამოირჩევა, რომელთა მეშვეობითაც თავდამსხმელებს ქსელიდან საკუთარი უფლებების გაზრდა შეუძლიათ. ამისთვის წინასწარი ავტორიზაცია საჭირო არ არის, თუმცა CVSS-ის შეფასების თანახმად, მსხვერპლის მხრიდან გარკვეული მოქმედებაა საჭირო. Windows-ის ვერსიაში ხარვეზების გამოსასწორებლად განახლებული პროგრამა უკვე ხელმისაწვდომია.

Zoom ხარვეზებს მხოლოდ მოკლედ და ზედაპირულად აღწერს. Windows-ისთვის განკუთვნილ Zoom Workplace-ში მონაცემების არასათანადო შემოწმების გამო, არაავტორიზებულ თავდამსხმელებს ქსელიდან უფლებების გაზრდის გამოწვევა შეუძლიათ. Zoom არ განმარტავს, როგორი შეიძლება იყოს თავდასხმა ან როგორ შეიძლება მისი ამოცნობა (CVE-2026-108186, CVSS 9.6, რისკი „კრიტიკული“). წარმოშობის არასწორმა შემოწმებამ ასევე შეიძლება გამოიწვიოს, რომ ქსელიდან მოქმედმა, სისტემაში შეუსვლელმა მავნე პირებმა უფლებები გაზარდონ (CVE-2026-108187, CVSS 8.1, რისკი „მაღალი“).

Windows-ისთვის განკუთვნილი Zoom Workplace 7.1.0 ვერსიიდან კრიტიკული ხარვეზის მიმართ მოწყვლადია. მეორე ხარვეზი, როგორც ჩანს, უფრო ძველ ვერსიებსაც ეხება. პროგრამის 7.1.8 ვერსია უფრო სერიოზულ ხარვეზს ასწორებს, ხოლო მაღალი რისკის ხარვეზი Zoom Workplace for Windows 7.1.5-ში აღმოიფხვრა. ამჟამად Zoom-ის ვებსაიტიდან 7.2.5 ვერსიის ჩამოტვირთვაა შესაძლებელი. ის უსაფრთხოებასთან დაკავშირებულ ხარვეზებს და, სავარაუდოდ, სხვა პრობლემებსაც ასწორებს. Windows-ში Zoom-ის აპლიკაციების განახლებაში WinGet-იც დაგეხმარებათ. ბრძანების სტრიქონში winget upgrade --all-ის გაშვება სხვადასხვა დაყენებული პროგრამისთვის განახლებებს აჩვენებს.

კრიტიკული ხარვეზი Zoom-ის შიდა Offensive-Security გუნდმა აღმოაჩინა, ხოლო მეორე უსაფრთხოების მკვლევარმა, რომელიც ფსევდონიმ shmoul-ს იყენებს, შეატყობინა კომპანიას. როგორც ჩანს, ორივე ხარვეზს ქსელში ჯერ არ იყენებენ, ყოველ შემთხვევაში, Zoom ამის შესახებ არაფერს წერს.

აგვისტოს შუა რიცხვებში Zoom-მა ნულოვანი დაწკაპუნების ხარვეზის შესახებ გააფრთხილა. ამ ხარვეზის მეშვეობით კონფერენციის მონაწილეებს შეეძლოთ, სხვებისთვის ნებისმიერი კოდი შეეპარებინათ.