セキュリティ

SECURITY

公開：2024-08-20

ZoomのmacOS版アプリに脆弱性CVE-2024-42439、権限昇格のリスクあり更新で対応

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

• ZoomのmacOS版アプリにバッファオーバーフローの脆弱性
• CVE-2024-42439として報告された中程度の深刻度
• Zoom Workplace Apps及びSDKsの更新で対応

ZoomのmacOS版アプリに発見された脆弱性CVE-2024-42439

Zoomは2024年8月13日、macOS版のZoom Workplace Desktop AppとZoom Meeting SDKに脆弱性が存在することを公表した。この脆弱性はCVE-2024-42439として識別され、CVSSスコア6.5の中程度の深刻度と評価されている。インストーラーの信頼されていない検索パスにより、特権を持つユーザーがローカルアクセスを通じて権限昇格を行う可能性があるという。^[1]

この脆弱性は、Zoom Workplace Desktop App for macOSとZoom Meeting SDK for macOSのバージョン6.1.5未満に影響を与える。Zoomは、ユーザーに対して公式サイトから最新のアップデートを適用することで、自身のセキュリティを確保できると案内している。匿名の研究者によって報告されたこの脆弱性は、Zoomの製品セキュリティに対する継続的な注意喚起の重要性を示している。

Zoomは、この脆弱性に対する詳細な技術情報をセキュリティ報告書（ZSB-24033）として公開している。CVSSベクトル文字列「CVSS:3.1/AV:L/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:H」は、攻撃の複雑さや影響範囲を示しており、セキュリティ専門家にとって重要な情報となっている。Zoomは今後も継続的に製品のセキュリティ強化に取り組むと表明している。

Zoom脆弱性CVE-2024-42439の詳細

Zoomの最新バージョンダウンロードはこちら

CVSSについて

CVSSとは、Common Vulnerability Scoring Systemの略称で、情報システムの脆弱性の深刻度を評価するための業界標準指標のことを指している。主な特徴として以下のような点が挙げられる。

• 0.0から10.0までの数値でスコアを表現
• 攻撃の難易度や影響範囲などの要素を考慮
• ベクトル文字列により詳細な評価基準を明示

CVSSは脆弱性の重要度を客観的に評価し、優先度付けを行うための重要なツールとなっている。ZoomのCVE-2024-42439の場合、CVSSスコア6.5は中程度の深刻度を示しており、システム管理者や開発者にとって、迅速な対応が必要であることを示唆している。このスコアリングシステムにより、組織はセキュリティリスクを効果的に管理し、適切な対策を講じることが可能となる。

Zoomの脆弱性対応に関する考察

Zoomの迅速な脆弱性公開と対応は、セキュリティに対する企業の姿勢として評価できる点だ。特に、匿名の研究者からの報告を受け入れ、速やかに対策を講じたことは、外部の知見を活用したセキュリティ強化の好例と言えるだろう。一方で、インストーラーの検索パスに関する問題は、基本的なセキュリティ設計の重要性を再認識させる事例となった。

今後の課題として、macOSに特化した脆弱性が発見されたことから、クロスプラットフォーム開発におけるセキュリティ対策の難しさが浮き彫りとなった。Zoomのような広く利用されるコミュニケーションツールでは、各OS固有の脆弱性にも注意を払う必要がある。また、権限昇格の可能性がある脆弱性は、企業ネットワーク全体のセキュリティリスクにつながる可能性があり、更なる対策が求められるだろう。

Zoomに期待したい点として、セキュリティ更新プログラムの自動適用機能の強化が挙げられる。ユーザーの手動更新に依存するのではなく、重要な脆弱性に対しては自動的にパッチを適用する仕組みを整えることで、脆弱性のある状態で使用されるリスクを低減できる。また、脆弱性情報の公開と同時に、企業ユーザー向けの詳細な影響分析や対策ガイドラインを提供することで、組織全体のセキュリティ向上に貢献することが期待される。

参考サイト

1. ^ Zoom. 「ZSB-24033 | Zoom」. https://www.zoom.com/en/trust/security-bulletin/zsb-24033/, (参照 24-08-20).

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「セキュリティ」に関するコラム一覧「セキュリティ」に関するニュース一覧