研究者らは、人気の高いZoom会議プラットフォームに3つの脆弱性を発見した。これらの脆弱性を利用すれば、会議参加者の1人が悪意のあるコラボレーションデータを通じて他の参加者を攻撃できる可能性がある。
CVE-2026-53413 、 CVE-2026-53414 、 CVE-2026-53415として追跡されているこれらの脆弱性は、Zoomが会議中に共有される注釈データを処理するために使用するコードに影響を与えます。研究者らは、これらの脆弱性を「Zoomsday」と名付けました。
影響を受けるアプリケーションは以下のとおりです。
- リリースブランチによっては、バージョン7.1.5および7.0.6より前の、サポートされているすべてのプラットフォーム上のZoom Workplace
- Zoom Workplace VDIクライアントWindows バージョン7.0.11および6.6.16より前のバージョンでは、リリースブランチによって異なる。
- バージョン7.1.5より前の、サポートされているすべてのプラットフォーム上のZoom Rooms
- Zoom Meeting SDK（サポート対象プラットフォームすべて、バージョン7.1.5より前）
何が起こりうるか
これはつまり、同じZoomミーティングに参加している誰かが、Zoomアプリが処理できないデータを送信する可能性があるということです。脆弱性のあるクライアントは、単に描画、テキストボックス、その他の注釈を表示する代わりに、クラッシュしたり、情報が漏洩したり、攻撃者が制御するコードを実行したりするよう仕向けられる可能性があります。
注釈機能は一見シンプルに聞こえますが、その背後にある処理は複雑です。Zoomクライアントは他の参加者から構造化データを受け取り、それを画面に表示できるオブジェクトに変換します。調査によると、注釈パーサーには複数のメモリ安全性のバグが含まれていました。サードパーティから提供されたデータを処理するソフトウェアはどれもそうですが、長さ、カウント、参照を使用する前に、それらを検証することに細心の注意を払う必要があります。
驚くべきことに、研究者らが「危機的」と評価した深刻度評価と、Zoomが「高」と評価した深刻度評価の間には食い違いがある。
その違いは、共通脆弱性評価システム（ CVSSスコア）における脆弱性の評価方法にあるようだ。Zoomは、脆弱性の悪用が成功するにはユーザーの操作が必要だと考えている。
実際には、攻撃者はまず、標的となる被害者と同じ会議に参加する必要があります。そのためには、公開されている会議に参加する、流出した会議リンクを悪用する、出席予定者を装う、または既にアクセス権を持つアカウントを侵害するなどの方法が考えられます。Zoomでは、攻撃者が標的を説得して会議に参加させ、その端末を侵害しようとする場合、これをユーザー操作とみなします。
安全に過ごすには
Zoomは、どのプログラムをアップデートする必要があるか、また修正版をどこで入手できるかを説明するセキュリティ速報を公開しました。
Zoom会議から身を守り、安全な会議を行うために：
- Zoomをできるだけ早く最新バージョンにアップデートしてください。
- Zoomミーティングへの参加者を制限しましょう。機密性の高い通話には、パスコード、待機室、認証済みユーザーによる制限、固有のミーティングリンクなどを活用してください。
- 注釈機能、ホワイトボード機能、リモートコントロール機能、ファイル転送機能、サードパーティ製アプリなどの機能が不要な場合は、特に誰でも参加できるオープンな形式の会議では、これらの機能をオフにすることを検討してください。
- 会議が一度中断されたからといって、それが攻撃の証拠にはならないが、定期的に発生する場合は調査する価値がある。
- 最新のリアルタイムマルウェア対策ソリューションを使用して、デバイス上の悪意のあるコードをブロックしてください。
- 組織は、展開されているすべてのZoomクライアントがアップデートを受信していることを確認するために、デバイス管理ツールもチェックする必要があります。
脅威の報告から、それらを排除することまで。
サイバーセキュリティのリスクは、ヘッドラインを超えて広がるべきではありません。今すぐMalwarebytes ダウンロードして、デバイスに脅威を持ち込まないようにしましょう。
