セキュリティ

SECURITY

公開：2024-08-20

ZoomのmacOS版アプリに権限昇格の脆弱性、最新版6.1.0へのアップデートで対策

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

• Zoom Workplace Desktop AppとZoom Meeting SDKの脆弱性を修正
• macOS版の6.1.0未満に権限昇格の脆弱性
• ユーザーはzoom.usから最新版へのアップデートを推奨

ZoomのmacOS版アプリに発見された権限昇格の脆弱性

Zoomは2024年8月13日、Zoom Workplace Desktop AppとZoom Meeting SDKのmacOS版に存在していた権限昇格の脆弱性を修正したセキュリティアップデートを公開した。この脆弱性はバージョン6.1.0未満に影響し、CVE-2024-42440として識別されている。Zoomは、ユーザーが最新版にアップデートすることで、この脆弱性から保護されると述べている。^[1]

この脆弱性は、インストーラーにおける信頼されていない検索パスの問題に起因しており、ローカルアクセスを持つ特権ユーザーが権限昇格を実行できる可能性がある。CVSSスコアは6.5（中程度）で、攻撃の複雑さは低いが、攻撃者には高い特権が必要とされる。Zoomは、この脆弱性が匿名の研究者によって報告されたことを明らかにしている。

Zoomは、ユーザーに対して公式ウェブサイト（zoom.us/download）から最新バージョンをダウンロードし、インストールすることを強く推奨している。この迅速な対応は、Zoomがユーザーのセキュリティを重視し、潜在的な脅威に対して積極的に対策を講じていることを示している。セキュリティ更新プログラムの適用は、オンラインミーティングやコラボレーションツールの安全な使用を確保する上で重要な手順だ。

Zoom Workplace Desktop AppとZoom Meeting SDKの脆弱性まとめ

Zoomの最新版ダウンロードはこちら

権限昇格について

権限昇格とは、システムやアプリケーション上でユーザーが本来持っている権限以上の特権を不正に取得することを指しており、主な特徴として以下のような点が挙げられる。

• システムの重要な機能や機密データへの不正アクセスが可能になる
• マルウェアの実行や他のセキュリティ機能の無効化に悪用される可能性がある
• ソフトウェアの脆弱性や設定ミスを利用して実行されることが多い

Zoom Workplace Desktop AppとZoom Meeting SDKのmacOS版で発見された脆弱性は、インストーラーの信頼されていない検索パスを悪用した権限昇格の一例だ。この脆弱性により、ローカルアクセス権を持つ攻撃者が、システム上でより高い権限を取得し、重要なリソースにアクセスしたり、システムの設定を変更したりする可能性がある。Zoomが迅速にこの問題に対処したことは、セキュリティリスクの最小化に向けた重要なステップと言える。

Zoomの脆弱性対応に関する考察

Zoomが迅速にセキュリティ脆弱性を修正し、ユーザーに対して明確な対応策を提示したことは評価に値する。特に、CVSSスコアが中程度であるにもかかわらず、すぐに修正版をリリースしたことは、ユーザーの信頼を維持する上で重要だ。しかし、今後はインストーラーのセキュリティ設計をさらに強化し、同様の脆弱性が発生しないよう予防措置を講じる必要があるだろう。

一方で、この事例は、ソフトウェア開発におけるセキュリティ by デザインの重要性を再認識させる。開発初期段階からセキュリティを考慮し、定期的なセキュリティ監査を実施することで、潜在的な脆弱性をより早期に発見し、対処できる可能性がある。また、ユーザー教育も重要だ。アプリケーションを最新の状態に保つ重要性や、不審な動作を報告する方法について、ユーザーにより明確なガイダンスを提供することが望ましい。

今後、Zoomには脆弱性の報告から修正、公開までのプロセスをさらに効率化し、透明性を高めることが期待される。例えば、脆弱性の詳細な技術情報や、影響を受ける可能性のある他の製品ラインについても、より包括的な情報提供が望ましい。また、セキュリティ研究者とのより積極的な協力関係を構築し、バグバウンティプログラムの拡充なども検討すべきだろう。こうした取り組みが、Zoomのセキュリティ態勢の継続的な改善につながることを期待したい。

参考サイト

1. ^ Zoom. 「ZSB-24032 | Zoom」. https://www.zoom.com/en/trust/security-bulletin/zsb-24032/, (参照 24-08-20).

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「セキュリティ」に関するコラム一覧「セキュリティ」に関するニュース一覧