Zoom製品のmacOS版に脆弱性CVE-2024-42441、特権ユーザーによる権限昇格のリスク

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

Zoom Workplace Desktop Appなどに脆弱性
特権ユーザーによる権限昇格の可能性
macOS版の6.1.5未満が影響を受ける

Zoom製品のmacOS版に発見された脆弱性CVE-2024-42441

Zoomは、Zoom Workplace Desktop App for macOS、Zoom Meeting SDK for macOS、Zoom Rooms Client for macOSのバージョン6.1.5未満に影響する脆弱性CVE-2024-42441を2024年8月13日に公開した。この脆弱性は、インストーラーにおける不適切な権限管理に起因するもので、特権ユーザーがローカルアクセスを通じて権限昇格を行う可能性がある。^[1]

CVSSスコアは6.2（中程度）で、攻撃ベクトルは物理的なアクセスが必要とされる。攻撃の複雑性は低いが、高い特権が必要であり、ユーザーの操作は不要だ。影響範囲は限定的だが、機密性、整合性、可用性のすべてに高い影響を与える可能性がある。

Zoomは、ユーザーに対して最新のアップデートを適用することで、セキュリティを維持できると述べている。影響を受ける製品のユーザーは、公式サイトからダウンロード可能な最新バージョンへのアップデートを推奨される。この脆弱性は、sim0nsecurityによって報告されたものだ。

Zoom製品の脆弱性CVE-2024-42441の詳細

	詳細情報
脆弱性ID	CVE-2024-42441
CVSSスコア	6.2（中程度）
影響を受ける製品	Zoom Workplace Desktop App for macOS、Zoom Meeting SDK for macOS、Zoom Rooms Client for macOS（バージョン6.1.5未満）
脆弱性の種類	不適切な権限管理
潜在的な影響	特権ユーザーによる権限昇格

Zoomの最新バージョンのダウンロードはこちら

CVSSについて

CVSSとは、Common Vulnerability Scoring Systemの略で、情報システムの脆弱性の深刻度を評価するための業界標準指標のことを指しており、主な特徴として以下のような点が挙げられる。

0.0から10.0までの数値で脆弱性の深刻度を表現
攻撃の容易さや影響範囲などの要素を考慮して算出
ベーススコア、現状評価、環境評価の3つの指標で構成

CVE-2024-42441の場合、CVSSスコアは6.2で中程度の深刻度と評価されている。このスコアは、攻撃に物理的なアクセスが必要であることや、高い特権が要求されることなどを考慮して算出されている。CVSSは脆弱性の管理や対策の優先順位付けに広く活用されており、セキュリティ専門家にとって重要なツールとなっている。

Zoom製品の脆弱性に関する考察

Zoom製品に発見された脆弱性CVE-2024-42441は、物理的なアクセスが必要であることから、リモート攻撃のリスクは低いと考えられる。しかし、共有ワークスペースや教育機関など、複数のユーザーが同じデバイスにアクセスできる環境では、潜在的なリスクが高まる可能性がある。組織のIT管理者は、このような共有環境での権限管理とアクセス制御をより厳格に行う必要があるだろう。

今後、Zoomのような広く使用されているコミュニケーションツールに対する攻撃は増加する可能性が高い。特に、リモートワークやハイブリッドワークの普及により、これらのツールの重要性が高まっているため、攻撃者にとって魅力的なターゲットとなっている。Zoomは継続的なセキュリティ監査と迅速な脆弱性対応を行い、ユーザーの信頼を維持することが重要だ。

ユーザー側も、定期的なソフトウェアアップデートの重要性を再認識する必要がある。多くの場合、脆弱性は発見後すぐにパッチが提供されるが、ユーザーがアップデートを怠ることでリスクが継続する。組織は自動アップデートの導入や、従業員へのセキュリティ教育を強化することで、このような脆弱性のリスクを最小限に抑えられるだろう。