Một trục trặc mới được phát hiện trong tính năng chia sẻ màn hình của Zoom có ​​thể vô tình làm rò rỉ thông tin nhạy cảm cho những người tham dự khác trong cuộc gọi. Lỗi được theo dõi là CVE-2021-28133 , lỗ hổng bảo mật chưa được vá khiến nó có thể tiết lộ nội dung của các ứng dụng không được chia sẻ nhưngchỉ trong thời gian ngắn, do đó khó khai thác hơn.

Cần biết rằng chức năng chia sẻ màn hình trong Zoom cho phép người dùng chia sẻ toàn bộ màn hình máy tính để bàn hoặc màn hình điện thoại hoặc một hoặc nhiều ứng dụng cụ thể hay một phần của màn hình. Vấn đề bắt nguồn từ thực tế là một ứng dụng thứ hai được phủ lên trên một ứng dụng đã được chia sẻ có thể tiết lộ nội dung của nó trong một khoảng thời gian ngắn.

“Khi người dùng Zoom chia sẻ một cửa sổ ứng dụng cụ thể thông qua chức năng ‘chia sẻ màn hình’, những người tham gia cuộc họp khác có thể xem nhanh nội dung của các cửa sổ ứng dụng khác dù không được chia sẻ rõ ràng”, các nhà nghiên cứu của SySS Michael Strametz và Matthias Deeg lưu ý . “Chẳng hạn, nội dung của các cửa sổ ứng dụng không được chia sẻ có thể bị người dùng khác nhìn thấy trong một khoảng thời gian ngắn khi các cửa sổ đó phủ lên cửa sổ ứng dụng được chia sẻ và tập trung vào.”https://www.youtube.com/embed/SonmmgQlLzg

Lỗ hổng, đã được thử nghiệm trên phiên bản 5.4.3 và 5.5.4 trên cả máy khách Windows và Linux, được cho là đã được tiết lộ cho công ty hội nghị truyền hình vào ngày 2 tháng 12 năm 2020. Việc thiếu bản sửa lỗi thậm chí sau ba tháng có thể do khó khăn trong việc khai thác lỗ hổng.

Nhưng dù sao, điều này có thể gây ra hậu quả nghiêm trọng tùy thuộc vào bản chất của dữ liệu được chia sẻ vô tình, các nhà nghiên cứu cảnh báo, việc thêm một người tham gia độc hại vào cuộc họp Zoom có ​​thể lợi dụng điểm yếu bằng cách sử dụng công cụ chụp màn hình để ghi lại cuộc họp và phát lại. ghi âm để xem thông tin cá nhân.

Khi được yêu cầu phản hồi, người phát ngôn của Zoom cho biết họ đang làm việc để giải quyết vấn đề. “Zoom xem xét tất cả các báo cáo về lỗ hổng bảo mật một cách nghiêm túc”, công ty nói với The Hacker News qua email. “Chúng tôi đã biết về vấn đề này và đang làm việc để giải quyết nó.”