Une IA a découvert trois failles Zoom qui permettaient de prendre le contrôle d'un ordinateur

Le protocole d’annotation de Zoom, actif pendant le partage d’écran, contenait trois failles repérées par les chercheurs de la société A Security. Un attaquant aurait pu, par cette porte d’entrée, prendre le contrôle à distance d’un appareil, sans clic de la victime, sur Windows, macOS, Linux, iOS et Android.

Si vous avez rejoint un appel Zoom en partageant votre écran ces derniers mois, votre ordinateur ou votre smartphone aurait pu passer sous le contrôle d’un inconnu, sans le moindre signe avant-coureur. D’après le plus récent rapport de la société de cybersécurité A Security, trois vulnérabilités se logeaient dans le protocole propriétaire d’annotation de Zoom.

Que la victime soit l’organisatrice ou une simple participante à la réunion, la prise de contrôle à distance était possible dès le démarrage d'un partage d'écran. Pour identifier ces trois failles, les chercheurs d’A Security ont interrogé des modèles d’intelligence artificielle accessibles au public, avec moins de 20 requêtes et en moins de 24 heures. Logiquement, ils l’ont baptisé le Zoomsday.

Trois vulnérabilités notées 9 sur 10

Techniquement, l’attaque exploitait un débordement de mémoire dans la fonction de désérialisation de l’outil d’annotation de Zoom, celui qui sert à dessiner ou à surligner un document pendant un partage d’écran. Un message réseau conçu par l’attaquant corrompait la mémoire de l’appareil visé et exécutait du code à distance, à la seule réception du message. Zoom recense trois identifiants CVE pour cette famille de failles, avec un score de gravité de 9 sur 10, la note maximale du barème CVSS. Zoom a aussi corrigé Zoom Rooms et le kit de développement Meeting SDK, utilisés par des entreprises pour intégrer la visioconférence dans leurs propres logiciels.

Les chercheurs d’A Security ont repéré la première faille le 8 juin dernier. Le lendemain, ils confirmaient une exécution de code à distance sans le moindre clic, sur toutes les plateformes, jusqu’à la version 7.0.5. Ils ont averti Zoom dès le 10 juin, et l’éditeur a accusé réception le jour suivant. Zoom a publié un premier correctif côté client le 22 juin, sous la version 7.1.0 avant une seconde vague de protection, cette fois côté serveur, le 15 juillet. Zoom a diffusé le correctif définitif, la version 7.1.5, le 20 juillet. A Security a publié son rapport complet ce 11 août. Pour la plupart des utilisateurs, Zoom a déployé l’ensemble de ces mises à jour sans qu’ils aient à intervenir.

« Auparavant, il aurait fallu une équipe de cinq personnes pendant environ six mois, avec de nombreux essais et itérations, pour trouver cette faille. Désormais, on peut obtenir les mêmes résultats en moins de 20 étapes. Et Zoom est une cible importante car les utilisateurs lui font confiance. Ils ne le perçoivent pas comme une menace », a déclaré à WIRED Omer Gull, cofondateur d'A Security.

Deux précédents connus chez Google et Anthropic

Zoom effectue vraisemblablement des revues de code sur l’ensemble de ses fonctions. Mais Zoom ne publie pas le code de l’annotation, un outil accessoire du partage d’écran, et personne à l’extérieur de l’entreprise ne peut le relire. A Security a formé ses modèles d’IA à explorer ce type de fonction, complexe et fermée, comme le font les chasseurs de bogues humains. Google a fait état d'un zero-day conçu de bout en bout par une intelligence artificielle. Chez Anthropic, Claude a compromis trois vraies entreprises au cours d’une seule campagne. Et ses concepteurs n’avaient pas prévu ce scénario.

Zoom n’a pas répondu aux sollicitations de WIRED sur les conclusions d’AI Security au contraire de son cofondateur, Yossi Torati, lors d’un entretien tenu sur… Microsoft Teams, LE concurrent de Zoom. « Il suffit de vous connecter à Zoom avec nous pour que nous prenions le contrôle de votre appareil », a-t-il déclaré. « Le pire scénario serait que nous puissions compromettre une entreprise simplement en exploitant cette vulnérabilité. Si je suis un attaquant, je peux être en appel avec un employé, prendre le contrôle de son ordinateur et de ses identifiants, puis les utiliser pour me déplacer latéralement au sein de l’entreprise », a-t-il ajouté.

Source : Wired (accès payant)