Buletin Keamanan

Zoom tidak menyediakan panduan tentang dampak kerentanan terhadap pelanggan perorangan dikarenakan Buletin Keamanan Zoom atau menyediakan detail tambahan tentang kerentanan. Kami menganjurkan pengguna untuk memperbarui perangkat lunak Zoom ke versi terbaru agar mendapatkan perbaikan terbaru dan peningkatan keamanan.

Keparahan: Sedang

Skor CVSS: 5.4

String Vektor CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L

Deskripsi: Validasi input yang tidak tepat pada beberapa klien Zoom dapat mengizinkan pengguna yang diautentikasi untuk melakukan penolakan layanan melalui akses jaringan.

Pengguna dapat membantu menjaga diri mereka tetap aman dengan menerapkan pembaruan terbaru yang tersedia di https://zoom.us/download.

Produk yang Terpengaruh:

• SDK Klien Zoom untuk Windows sebelum versi 5.15.5
• SDK Klien Zoom untuk iOS sebelum versi 5.15.5
• SDK Klien Zoom untuk Android sebelum versi 5.15.5
• SDK Klien Zoom untuk macOS sebelum versi 5.15.5
• SDK Klien Zoom untuk Linux sebelum versi 5.15.5

Sumber: Dilaporkan oleh Keamanan Ofensif Zoom.

Keparahan: Sedang

Skor CVSS: 4.9

String Vektor CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N

Deskripsi: Autentikasi yang tidak tepat pada beberapa klien Zoom dapat mengizinkan pengguna yang memiliki hak istimewa untuk melakukan pengungkapan informasi melalui akses lokal.

Pengguna dapat membantu menjaga diri mereka tetap aman dengan menerapkan pembaruan terbaru yang tersedia di https://zoom.us/download.

Produk yang Terpengaruh:

• Zoom Rooms untuk Windows sebelum versi 5.15.5
• Zoom VDI Windows Meeting Client sebelum versi 5.12.6
• Zoom Rooms untuk Ruang Konferensi (untuk Android, iOS, Linux, macOS, dan Windows) sebelum versi 5.12.6
• Semua Zoom Client for Meetings untuk macOS sebelum versi 5.7.3
• Semua Zoom Client for Meetings untuk Windows sebelum versi 5.6.3

Sumber: Dilaporkan oleh Keamanan Ofensif Zoom.

Keparahan: Sedang

Skor CVSS: 6.8

String Vektor CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:N/A:N

Deskripsi: Validasi input yang tidak tepat dengan obrolan dalam rapat untuk Klien Desktop Zoom untuk Windows, Klien VDI Zoom untuk Windows, dan Zoom Meeting SDK untuk Windows dapat mengizinkan pengguna yang diautentikasi untuk melakukan pengungkapan informasi melalui akses jaringan.

Pengguna dapat membantu menjaga diri mereka tetap aman dengan menerapkan pembaruan terbaru yang tersedia di https://zoom.us/download.

Produk yang Terpengaruh:

• SDK Klien Zoom untuk Windows sebelum versi 5.15.0
• Peralatan Zoom Rooms untuk Windows sebelum versi 5.14.0
• Klien Zoom VDI Windows Meeting sebelum versi 5.14.0

Sumber: Dilaporkan oleh shmoul.

Keparahan: Kritis

Skor CVSS: 8.8

String Vektor CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Deskripsi: Kontrol akses yang tidak tepat pada Klien Desktop Zoom untuk Windows, Klien VDI Zoom untuk Windows, dan Zoom SDKs untuk Windows sebelum versi 5.16.10 dapat mengizinkan pengguna yang diautentikasi untuk melakukan eskalasi hak istimewa melalui akses lokal.

Pengguna dapat membantu menjaga diri mereka tetap aman dengan menerapkan pembaruan saat ini atau mengunduh perangkat lunak Zoom terbaru dengan semua pembaruan keamanan saat ini dari https://zoom.us/download.

Produk yang Terpengaruh:

• Klien Desktop Zoom untuk Windows sebelum versi 5.16.10
• SDK Klien Zoom untuk iOS sebelum versi 5.14.10
• SDK Klien Zoom untuk Android sebelum versi 5.14.10
• SDK Klien Zoom untuk macOS sebelum versi 5.14.10

Sumber: Dilaporkan oleh sim0nsecurity.

Keparahan: Kritis

Skor CVSS: 7.3

String Vektor CVSS: CVSS:3.1/AV:N/AC:H/PR:H/UI:R/S:C/C:H/I:H/A:N

Deskripsi: Traversal jalur pada Klien Desktop Zoom untuk Windows, Klien VDI Zoom untuk Windows, dan Zoom SDKs untuk Windows dapat mengizinkan pengguna yang diautentikasi untuk melakukan eskalasi hak istimewa melalui akses jaringan.

Pengguna dapat membantu menjaga diri mereka tetap aman dengan menerapkan pembaruan saat ini atau mengunduh perangkat lunak Zoom terbaru dengan semua pembaruan keamanan saat ini dari https://zoom.us/download.

Produk yang Terpengaruh:

• Klien Desktop Zoom untuk Windows sebelum versi 5.16.5
• Klien Desktop Zoom untuk macOS sebelum versi 5.14.10
• Klien Desktop Zoom untuk Linux sebelum versi 5.14.10
• Plugin dan Host VDI Zoom sebelum versi 5.14.10

Sumber: Dilaporkan oleh shmoul.

Keparahan: Kritis

Skor CVSS: 4.9

String Vektor CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N

Deskripsi: Masalah kriptografi pada Aplikasi Seluler Zoom untuk Android, Aplikasi Seluler Zoom untuk iOS, dan Zoom SDKs untuk Android dan iOS sebelum versi 5.16.0 dapat mengizinkan pengguna yang memiliki hak istimewa untuk melakukan pengungkapan informasi melalui akses jaringan.

Pengguna dapat membantu menjaga diri mereka tetap aman dengan menerapkan pembaruan saat ini atau mengunduh perangkat lunak Zoom terbaru dengan semua pembaruan keamanan saat ini dari https://zoom.us/download.

Produk yang Terpengaruh:

• Aplikasi Seluler Zoom untuk Android sebelum versi 5.16.0
• SDK Klien Zoom untuk iOS sebelum versi 5.14.7
• SDK Klien Zoom untuk Android sebelum versi 5.14.7
• SDK Klien Zoom untuk macOS sebelum versi 5.14.7
• SDK Klien Zoom untuk Linux sebelum versi 5.14.7
• Pengontrol untuk Zoom Rooms (untuk Android, iOS, dan Windows) sebelum versi 5.8.3

Sumber: Dilaporkan oleh Tim Keamanan Ofensif Zoom.

Keparahan: Kritis

Skor CVSS: 7.8

String Vektor CVSS: CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H

Deskripsi: Manajemen hak istimewa yang tidak tepat pada Zoom Rooms untuk macOS sebelum versi 5.16.0 dapat mengizinkan pengguna yang diautentikasi untuk melakukan eskalasi hak istimewa melalui akses lokal.

Pengguna dapat membantu menjaga diri mereka tetap aman dengan menerapkan pembaruan saat ini atau mengunduh perangkat lunak Zoom terbaru dengan semua pembaruan keamanan saat ini dari https://zoom.us/download.

Produk yang Terpengaruh:

• Zoom Rooms untuk macOS sebelum versi 5.16.0

Sumber: Dilaporkan oleh Eugene Lim (spaceraccoon).

Keparahan: Kritis

Skor CVSS: 3.5

String Vektor CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:N/A:N

Deskripsi: Manajemen aliran kontrol yang tidak memadai di beberapa klien Zoom dapat mengizinkan pengguna yang diautentikasi untuk melakukan pengungkapan informasi melalui akses jaringan.

Pengguna dapat membantu menjaga diri mereka tetap aman dengan menerapkan pembaruan saat ini atau mengunduh perangkat lunak Zoom terbaru dengan semua pembaruan keamanan saat ini dari https://zoom.us/download.

Produk yang Terpengaruh:

• Klien Desktop Zoom untuk Windows sebelum versi 5.16.0
• MMR Konektor Rapat Zoom lokal sebelum versi 4.6.360.20210325
• Konektor Perekaman Zoom lokal sebelum versi 3.8.44.20210326
• Konektor Ruang Virtual Zoom lokal sebelum versi 4.4.6752.20210326
• Zoom on-premise Virtual Room Connector Load Balancer sebelum versi 2.5.5495.20210326

Sumber: Dilaporkan oleh Tim Keamanan Ofensif Zoom.

Keparahan: Kritis

Skor CVSS: 3.7

String Vektor CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L

Deskripsi: Luapan penyangga pada beberapa klien Zoom dapat mengizinkan pengguna yang tidak diautentikasi untuk melakukan penolakan layanan melalui akses jaringan.

Pengguna dapat membantu menjaga diri mereka tetap aman dengan menerapkan pembaruan saat ini atau mengunduh perangkat lunak Zoom terbaru dengan semua pembaruan keamanan saat ini dari https://zoom.us/download.

Produk yang Terpengaruh:

• Klien Desktop Zoom untuk Windows sebelum versi 5.16.0
• Klien Zoom Rooms untuk Windows sebelum versi 5.13.3
• Klien Zoom VDI untuk Windows sebelum versi 5.13.1
• Zoom On-Premise Virtual Room Connector sebelum versi 4.4.6344.20200612
• Zoom On-Premise Virtual Room Connector Load Balancer sebelum versi 2.5.5492.20200616

Sumber: Dilaporkan oleh Tim Keamanan Ofensif Zoom.

Keparahan: Kritis

Skor CVSS: 4.3

String Vektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L

Deskripsi: Luapan penyangga pada beberapa klien Zoom dapat mengizinkan pengguna yang tidak diautentikasi untuk melakukan penolakan layanan melalui akses jaringan.

Pengguna dapat membantu menjaga diri mereka tetap aman dengan menerapkan pembaruan saat ini atau mengunduh perangkat lunak Zoom terbaru dengan semua pembaruan keamanan saat ini dari https://zoom.us/download.

Produk yang Terpengaruh:

• Klien Desktop Zoom untuk Windows sebelum versi 5.15.10
• Semua Zoom Rooms untuk Ruang Konferensi untuk Windows sebelum versi 5.10.0
• Zoom On-Premise Recording Connector sebelum versi 3.8.42.20200905
• Zoom On-Premise Virtual Room Connector sebelum versi 4.4.6344.20200612
• Zoom On-Premise Virtual Room Connector Load Balancer sebelum versi 2.5.5492.20200616

Sumber: Dilaporkan oleh Tim Keamanan Ofensif Zoom.

Keparahan: Kritis

Skor CVSS: 3.1

String Vektor CVSS: CVSS:3.1/AV:L/AC:L/PR:H/UI:R/S:U/C:N/I:L/A:L

Deskripsi: Jalur pencarian tidak tepercaya pada Klien Zoom Rooms untuk Windows dan Klien VDI Zoom dapat mengizinkan pengguna yang memiliki hak istimewa untuk melakukan penolakan layanan melalui akses lokal.

Pengguna dapat membantu menjaga diri mereka tetap aman dengan menerapkan pembaruan saat ini atau mengunduh perangkat lunak Zoom terbaru dengan semua pembaruan keamanan saat ini dari https://zoom.us/download.

Produk yang Terpengaruh:

• Klien Zoom Rooms untuk Windows sebelum versi 5.16.0
• MMR Konektor Rapat Zoom lokal sebelum versi 4.6.360.20210325

Sumber: Dilaporkan oleh sim0nsecurity.

Keparahan: Kritis

Skor CVSS: 6.5

String Vektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L

Deskripsi: Validasi input yang tidak tepat pada Klien Desktop Zoom untuk Linux sebelum versi 5.15.10 dapat mengizinkan pengguna yang tidak diautentikasi untuk melakukan penolakan layanan melalui akses jaringan.

Pengguna dapat membantu menjaga diri mereka tetap aman dengan menerapkan pembaruan saat ini atau mengunduh perangkat lunak Zoom terbaru dengan semua pembaruan keamanan saat ini dari https://zoom.us/download.

Produk yang Terpengaruh:

• Klien Desktop Zoom untuk Linux sebelum versi 5.15.10

Sumber: Dilaporkan oleh Antoine Roly (aroly).

Keparahan: Kritis

Skor CVSS: 5.9

String Vektor CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:L

Deskripsi: Validasi input yang tidak tepat pada Klien Desktop Zoom untuk Windows sebelum versi 5.15.5 dapat mengizinkan pengguna yang diautentikasi untuk mengaktifkan pengungkapan informasi melalui akses jaringan.

Pengguna dapat membantu menjaga diri mereka tetap aman dengan menerapkan pembaruan saat ini atau mengunduh perangkat lunak Zoom terbaru dengan semua pembaruan keamanan saat ini dari https://zoom.us/download.

Produk yang Terpengaruh:

• Klien Desktop Zoom untuk Windows sebelum versi 5.15.5

Sumber: Dilaporkan oleh Tim Keamanan Ofensif Zoom.

Keparahan: Kritis

Skor CVSS: 9.6

String Vektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Deskripsi: Netralisasi elemen khusus yang tidak tepat pada Klien Desktop Zoom untuk Windows dan Klien VDI Zoom dapat mengizinkan pengguna yang tidak diautentikasi untuk mengaktifkan eskalasi hak istimewa melalui akses jaringan.

Pengguna dapat membantu menjaga diri mereka tetap aman dengan menerapkan pembaruan saat ini atau mengunduh perangkat lunak Zoom terbaru dengan semua pembaruan keamanan saat ini dari https://zoom.us/download.

Produk yang Terpengaruh:

• Klien Desktop Zoom untuk Windows sebelum versi 5.15.2
• Peralatan Zoom Rooms untuk Windows sebelum versi 5.14.0
• Zoom VDI Windows Meeting Client sebelum versi 5.14.0

Sumber: Dilaporkan oleh Tim Keamanan Ofensif Zoom.

Keparahan: Kritis

Skor CVSS: 8.8

String Vektor CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Deskripsi: Manajemen hak istimewa yang tidak tepat pada Klien Desktop Zoom untuk Windows dan Zoom Rooms untuk Windows sebelum versi 5.15.5 dapat mengizinkan pengguna yang diautentikasi untuk mengaktifkan pengungkapan informasi melalui akses lokal.

Pengguna dapat membantu menjaga diri mereka tetap aman dengan menerapkan pembaruan saat ini atau mengunduh perangkat lunak Zoom terbaru dengan semua pembaruan keamanan saat ini dari https://zoom.us/download.

Produk yang Terpengaruh:

• Zoom Desktop untuk Windows sebelum versi 5.15.5
• Semua Zoom Rooms untuk Ruang Konferensi untuk Windows sebelum versi 5.10.0

Sumber: Dilaporkan oleh sim0nsecurity.

Keparahan: Kritis

Skor CVSS: 6.5

String Vektor CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:N

Deskripsi: Penegakan keamanan sisi server pada sisi klien di klien Zoom sebelum versi 5.14.10 dapat mengizinkan pengguna istimewa untuk mengaktifkan pengungkapan informasi melalui akses jaringan.

Pengguna dapat membantu menjaga diri mereka tetap aman dengan menerapkan pembaruan saat ini atau mengunduh perangkat lunak Zoom terbaru dengan semua pembaruan keamanan saat ini dari https://zoom.us/download.

Produk yang Terpengaruh:

• Klien Desktop Zoom untuk Windows sebelum versi 5.14.10
• Zoom On-Premise Meeting Connector MMR sebelum versi 4.6.365.20210703
• Konektor Perekaman Zoom Lokal sebelum versi 3.8.45.20210703
• Zoom On-Premise Virtual Room Connector sebelum versi 4.4.6868.20210703
• Zoom On-Premise Virtual Room Connector Load Balancer sebelum versi 2.5.5496.20210703

Sumber: Dilaporkan oleh Tim Keamanan Ofensif Zoom.

Keparahan: Kritis

Skor CVSS: 9.6

String Vektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Deskripsi: Validasi input yang tidak tepat pada Klien Desktop Zoom untuk Windows sebelum versi 5.14.7 dapat mengizinkan pengguna yang tidak diautentikasi untuk mengaktifkan eskalasi hak istimewa melalui akses jaringan.

Pengguna dapat membantu menjaga diri mereka tetap aman dengan menerapkan pembaruan saat ini atau mengunduh perangkat lunak Zoom terbaru dengan semua pembaruan keamanan saat ini dari https://zoom.us/download.

Produk yang Terpengaruh:

• Klien Desktop Zoom untuk Windows sebelum versi 5.14.7

Sumber: Dilaporkan oleh Tim Keamanan Ofensif Zoom.

Keparahan: Kritis

Skor CVSS: 9.3

String Vektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:N/A:H

Deskripsi: Traversal jalur pada Klien Desktop Zoom untuk Windows sebelum versi 5.14.7 dapat mengizinkan pengguna yang tidak diautentikasi untuk mengaktifkan eskalasi hak istimewa melalui akses jaringan.

Pengguna dapat membantu menjaga diri mereka tetap aman dengan menerapkan pembaruan saat ini atau mengunduh perangkat lunak Zoom terbaru dengan semua pembaruan keamanan saat ini dari https://zoom.us/download.

Produk yang Terpengaruh:

• Klien Desktop Zoom untuk Windows sebelum versi 5.14.7

Sumber: Dilaporkan oleh Tim Keamanan Ofensif Zoom.

Keparahan: Kritis

Skor CVSS: 5.9

String Vektor CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H

Deskripsi: Luapan penyangga pada klien Zoom sebelum versi 5.14.5 dapat mengizinkan pengguna yang tidak diautentikasi untuk mengaktifkan penolakan layanan melalui akses jaringan.

Pengguna dapat membantu menjaga diri mereka tetap aman dengan menerapkan pembaruan saat ini atau mengunduh perangkat lunak Zoom terbaru dengan semua pembaruan keamanan saat ini dari https://zoom.us/download.

Produk yang Terpengaruh:

• Klien Desktop Zoom untuk Windows sebelum versi 5.14.5
• MMR Konektor Rapat Zoom lokal sebelum versi 4.6.360.20210325
• Konektor Perekaman Zoom lokal sebelum versi 3.8.44.20210326
• Konektor Ruang Virtual Zoom lokal sebelum versi 4.4.6752.20210326
• Zoom on-premise Virtual Room Connector Load Balancer sebelum versi 2.5.5495.20210326

Sumber: Dilaporkan oleh Tim Keamanan Ofensif Zoom.

Keparahan: Kritis

Skor CVSS: 7.3

String Vektor CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:N/I:H/A:L

Deskripsi: Jalur pencarian yang tidak tepercaya pada penginstal Klien Desktop Zoom untuk Windows sebelum versi 5.14.5 dapat mengizinkan pengguna yang diautentikasi untuk mengaktifkan eskalasi hak istimewa melalui akses lokal.

Pengguna dapat membantu menjaga diri mereka tetap aman dengan menerapkan pembaruan saat ini atau mengunduh perangkat lunak Zoom terbaru dengan semua pembaruan keamanan saat ini dari https://zoom.us/download.

Produk yang Terpengaruh:

• Klien Desktop Zoom untuk Windows sebelum versi 5.14.5

Sumber: Dilaporkan oleh sim0nsecurity.

Keparahan: Kritis

Skor CVSS: 7.3

String Vektor CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:N/I:H/A:L

Deskripsi: Manajemen hak istimewa yang tidak tepat pada Zoom Rooms untuk Windows sebelum versi 5.14.5 dapat memungkinkan pengguna yang diautentikasi untuk mengaktifkan peningkatan hak istimewa melalui akses lokal.

Pengguna dapat membantu menjaga diri mereka tetap aman dengan menerapkan pembaruan saat ini atau mengunduh perangkat lunak Zoom terbaru dengan semua pembaruan keamanan saat ini dari https://zoom.us/download.

Produk yang Terpengaruh:

• Klien Zoom Rooms untuk Windows sebelum versi 5.12.7

Sumber: Dilaporkan oleh sim0nsecurity

Keparahan: Kritis

Skor CVSS: 8.8

String Vektor CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Deskripsi: Klien Zoom Rooms untuk macOS sebelum versi 5.11.3 berisi kerentanan eskalasi hak istimewa lokal. Pengguna lokal dengan hak istimewa rendah dapat mengeksploitasi kerentanan ini guna meningkatkan hak istimewa mereka ke root.
Pengguna dapat membantu menjaga diri mereka tetap aman dengan menerapkan pembaruan saat ini atau mengunduh perangkat lunak Zoom terbaru dengan semua pembaruan keamanan saat ini dari https://zoom.us/download.

Produk yang Terpengaruh:

• Klien Zoom Rooms untuk macOS sebelum versi 5.11.3

Sumber: Dilaporkan oleh Kirin (Pwnrin)

Keparahan: Kritis

Skor CVSS: 8.8

String Vektor CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Deskripsi: Penginstal Zoom Rooms untuk Windows sebelum versi 5.12.6 berisi kerentanan eskalasi hak lokal. Pengguna lokal dengan hak istimewa rendah dapat mengeksploitasi kerentanan ini selama proses penginstalan guna meningkatkan hak istimewa mereka ke pengguna SISTEM.

Pengguna dapat membantu menjaga diri mereka tetap aman dengan menerapkan pembaruan saat ini atau mengunduh perangkat lunak Zoom terbaru dengan semua pembaruan keamanan saat ini dari https://zoom.us/download.

Produk yang Terpengaruh:

• Penginstal Zoom Rooms untuk Windows sebelum versi 5.12.6

Sumber: Dilaporkan oleh sim0nsecurity

Keparahan: Kritis

Skor CVSS: 8.1

String Vektor CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:L

Deskripsi: Zoom Client for Meetings sebelum 5.12.6 dan Zoom Rooms untuk Ruang Konferensi sebelum 5.12.6 versi Windows 32-bit rentan terhadap kerentanan injeksi DLL. Pengguna lokal dengan hak istimewa rendah dapat mengeksploitasi kerentanan ini guna menjalankan kode arbitrer dalam konteks klien Zoom.

Pengguna dapat membantu menjaga diri mereka tetap aman dengan menerapkan pembaruan saat ini atau mengunduh perangkat lunak Zoom terbaru dengan semua pembaruan keamanan saat ini dari https://zoom.us/download

Produk yang Terpengaruh:

• Zoom Client for Meetings untuk Windows (32-bit) sebelum versi 5.12.6
• Klien Zoom VDI Windows Meeting untuk Windows (32-bit) sebelum versi 5.12.6
• Zoom Rooms untuk Ruang Konferensi untuk Windows (32-bit) sebelum versi 5.12.6

Sumber: Dilaporkan oleh sim0nsecurity

Keparahan: Kritis

Skor CVSS: 8.8

String Vektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Deskripsi: Zoom Client for Meetings (untuk Android, iOS, Linux, macOS, dan Windows) sebelum versi 5.12.2 rentan terhadap kerentanan penguraian URL. Jika URL rapat Zoom yang berbahaya dibuka, tautan berbahaya tersebut dapat mengarahkan pengguna untuk terhubung ke alamat jaringan arbitrer, yang menimbulkan serangan tambahan termasuk pengambilalihan sesi.

Pengguna dapat membantu menjaga diri mereka tetap aman dengan menerapkan pembaruan saat ini atau mengunduh perangkat lunak Zoom terbaru dengan semua pembaruan keamanan saat ini dari https://zoom.us/download.

Produk yang Terpengaruh:

• Zoom Client for Meetings (untuk Android, iOS, Linux, macOS, dan Windows) sebelum versi 5.12.2
• Zoom VDI Windows Meeting Client sebelum versi 5.12.2
• Zoom Rooms untuk Ruang Konferensi (untuk Android, iOS, Linux, macOS, dan Windows) sebelum versi 5.12.2

Sumber: Dilaporkan oleh Tim Keamanan Zoom

Keparahan: Kritis

Skor CVSS: 6.5

String Vektor CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

Deskripsi: MMR Konektor Rapat Zoom Lokal sebelum versi 4.8.20220815.130 berisi kerentanan kontrol akses yang tidak tepat. Akibatnya, pelaku ancaman dalam rapat atau webinar yang diizinkan untuk mereka ikuti dapat mencegah peserta menerima audio dan video yang menyebabkan gangguan rapat.

Untuk Penyebaran Zoom Lokal, administrator TI dapat membantu menjaga perangkat lunak Zoom mereka tetap terkini dengan mengikuti panduan ini: https://support.zoom.us/hc/en-us/articles/360043960031

Produk yang Terpengaruh:

• MMR Konektor Rapat Zoom Lokal sebelum versi 4.8.20220916.131

Sumber: Dilaporkan oleh Tim Keamanan Ofensif Zoom

Keparahan: Kritis

Skor CVSS: 8.2

String Vektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N

Deskripsi: MMR Konektor Rapat Zoom Lokal sebelum versi 4.8.20220815.130 berisi kerentanan kontrol akses yang tidak tepat. Akibatnya, pelaku ancaman dapat memperoleh umpan audio dan video rapat yang tidak diizinkan untuk mereka ikuti dan menyebabkan gangguan rapat lainnya.

Untuk Penyebaran Zoom Lokal, administrator TI dapat membantu menjaga perangkat lunak Zoom mereka tetap terkini dengan mengikuti panduan ini: https://support.zoom.us/hc/en-us/articles/360043960031

Produk yang Terpengaruh:

• MMR Konektor Rapat Zoom Lokal sebelum versi 4.8.20220815.130

Sumber: Dilaporkan oleh Tim Keamanan Zoom

Keparahan: Kritis

Skor CVSS: 8.8

String Vektor CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Deskripsi: Zoom Client for Meetings untuk macOS (Standar dan untuk Admin TI) mulai dari versi 5.7.3 dan sebelum versi 5.11.5 dan Zoom Rooms untuk Ruang Konferensi untuk macOS sebelum versi 5.11.6 berisi kerentanan pada proses pembaruan otomatis. Pengguna lokal dengan hak istimewa rendah dapat mengeksploitasi kerentanan ini guna meningkatkan hak istimewa mereka ke root.

Pengguna dapat membantu menjaga diri mereka tetap aman dengan menerapkan pembaruan saat ini atau mengunduh perangkat lunak Zoom terbaru dengan semua pembaruan keamanan saat ini dari https://zoom.us/download.

*Perubahan - 13-09-2022 - Memperbarui judul, deskripsi, dan menambahkan Zoom Rooms ke bagian "Produk yang Terpengaruh".

Produk yang Terpengaruh:

• Zoom Client for Meetings untuk macOS (Standar dan untuk Admin TI) dimulai dari versi 5.7.3 dan sebelum versi 5.11.5
• Zoom Rooms untuk Ruang Konferensi untuk macOS sebelum versi 5.11.6

Sumber: Dilaporkan oleh Patrick Wardle dari Objective-See

Keparahan: Kritis

Skor CVSS: 7.1

String Vektor CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:N

Deskripsi: MMR Konektor Rapat Zoom Lokal sebelum versi 4.8.20220815.130 berisi kerentanan kontrol akses yang tidak tepat. Akibatnya, pelaku ancaman dapat bergabung ke rapat yang diizinkan untuk mereka ikuti tanpa muncul di hadapan peserta lain, dapat masuk ke dalam rapat dari ruang tunggu, dan dapat menjadi host serta menyebabkan gangguan rapat lainnya.

Untuk Penyebaran Zoom Lokal, administrator TI dapat membantu menjaga perangkat lunak Zoom mereka tetap terkini dengan mengikuti panduan ini: https://support.zoom.us/hc/en-us/articles/360043960031

Produk yang Terpengaruh:

• MMR Konektor Rapat Zoom Lokal sebelum versi 4.8.129.20220714

Sumber: Dilaporkan oleh Tim Keamanan Ofensif Zoom

Keparahan: Kritis

Skor CVSS: 7.5

String Vektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Deskripsi: Pengontrol Zona (ZC) Konektor Rapat Lokal Zoom sebelum versi 4.8.20220419.112 gagal mengurai kode kesalahan STUN dengan benar, yang dapat mengakibatkan kerusakan memori dan dapat memungkinkan pelaku ancaman merusak aplikasi. Pada versi yang lebih lama dari 4.8.12.20211115, kerentanan ini juga dapat dimanfaatkan untuk mengeksekusi kode abitrer.

Untuk Penyebaran Zoom Lokal, administrator TI dapat membantu menjaga perangkat lunak Zoom mereka tetap terkini dengan mengikuti panduan ini:
https://support.zoom.us/hc/en-us/articles/360043960031

Produk yang Terpengaruh:

• Pengontrol Zona (ZC) Konektor Rapat Zoom Lokal sebelum versi 4.8.20220419.112

Sumber: Dilaporkan oleh Tim Keamanan Ofensif Zoom

Keparahan: Kritis

Skor CVSS: 7.1

String Vektor CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:H

Deskripsi: Penginstal Zoom Opener diunduh oleh pengguna dari halaman Luncurkan rapat, saat mencoba bergabung ke rapat tanpa menginstal Zoom Meeting Client. Penginstal Zoom Opener untuk Zoom Client for Meetings sebelum versi 5.10.3 dan Zoom Rooms untuk Ruang Konferensi untuk Windows sebelum versi 5.10.3 rentan terhadap serangan injeksi DLL. Kerentanan ini dapat digunakan untuk menjalankan kode arbitrer pada host korban.

Pengguna dapat membantu menjaga diri mereka tetap aman dengan menghapus penginstal Zoom Opener versi yang lebih lama dan menjalankan penginstal Zoom Opener versi terbaru dari tombol "Unduh Sekarang" di halaman "Luncurkan Rapat". Pengguna juga dapat melindungi diri mereka sendiri dengan mengunduh perangkat lunak Zoom terbaru dengan semua pembaruan keamanan saat ini dari https://zoom.us/download.

Produk yang Terpengaruh:

• Zoom Client for Meetings untuk Windows sebelum versi 5.10.3
• Semua Zoom Rooms untuk Ruang Konferensi untuk Windows sebelum versi 5.10.3

Sumber: Dilaporkan oleh James Tsz Ko Yeung

Keparahan: Kritis

Skor CVSS: 7.5

String Vektor CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H

Deskripsi: Zoom Client for Meetings untuk Windows sebelum versi 5.10.0 dan Zoom Rooms untuk Ruang Konferensi untuk Windows sebelum versi 5.10.0, gagal memeriksa versi instalasi dengan baik selama proses pembaruan. Masalah ini dapat digunakan dalam serangan yang lebih canggih untuk mengelabui pengguna agar menurunkan versi Zoom Client mereka ke versi yang kurang aman.

Pengguna dapat membantu menjaga diri mereka tetap aman dengan menerapkan pembaruan saat ini atau mengunduh perangkat lunak Zoom terbaru dengan semua pembaruan keamanan saat ini dari https://zoom.us/download.

Produk yang Terpengaruh:

• Semua Zoom Client for Meetings untuk Windows sebelum versi 5.10.0
• Semua Zoom Rooms untuk Ruang Konferensi untuk Windows sebelum versi 5.10.0

Sumber: Dilaporkan oleh Ivan Fratric dari Google Project Zero

Keparahan: Kritis

Skor CVSS: 8.1

String Vektor CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

Deskripsi: Zoom Client for Meetings (untuk Android, iOS, Linux, MacOS, dan Windows) sebelum versi 5.10.0 gagal mengurai bait XML dengan benar dalam pesan XMPP. Hal ini dapat memungkinkan pengguna jahat untuk merusak konteks pesan XMPP saat ini dan membuat konteks pesan baru agar klien pengguna penerima melakukan berbagai tindakan. Masalah ini dapat digunakan dalam serangan yang lebih canggih untuk memalsukan pesan XMPP dari server.

Pengguna dapat membantu menjaga diri mereka tetap aman dengan menerapkan pembaruan saat ini atau mengunduh perangkat lunak Zoom terbaru dengan semua pembaruan keamanan saat ini dari https://zoom.us/download.

Produk yang Terpengaruh:

• Zoom Client for Meetings (untuk Android, iOS, Linux, macOS, dan Windows) sebelum versi 5.10.0

Sumber: Dilaporkan oleh Ivan Fratric dari Google Project Zero

Keparahan: Kritis

Skor CVSS: 7.9

String Vektor CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:C/C:N/I:H/A:H

Deskripsi: Zoom Client for Meetings untuk Windows sebelum versi 5.9.7, Zoom Rooms untuk Ruang Konferensi untuk Windows sebelum versi 5.10.0, Plugin Zoom untuk Microsoft Outlook untuk Windows sebelum versi 5.10.3, dan Zoom VDI Windows Meeting Clients sebelum versi 5.9.6; rentan terhadap masalah eskalasi hak istimewa lokal selama operasi perbaikan penginstal. Pelaku ancaman dapat memanfaatkan ini untuk berpotensi menghapus file atau folder tingkat sistem, menyebabkan masalah integritas atau ketersediaan pada mesin host pengguna.

Pengguna dapat membantu menjaga diri mereka tetap aman dengan menerapkan pembaruan saat ini atau mengunduh perangkat lunak Zoom terbaru dengan semua pembaruan keamanan saat ini dari https://zoom.us/download.

Produk yang Terpengaruh:

• Semua Zoom Client for Meetings untuk Windows sebelum versi 5.9.7
• Semua Zoom Rooms untuk Ruang Konferensi untuk Windows sebelum versi 5.10.0
• Semua Plugin Zoom untuk Microsoft Outlook untuk Windows sebelum versi 5.10.3
• Semua Zoom VDI Windows Meeting Clients sebelum versi 5.9.6

Sumber: Dilaporkan oleh Zero Day Initiative

Keparahan: Kritis

Skor CVSS: 4.7

String Vektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:N/I:N/A:L

Deskripsi: Fungsi obrolan Zoom Client for Meetings rentan terhadap serangan bom Zip dalam versi produk berikut: Android sebelum versi 5.8.6, iOS sebelum versi 5.9.0, Linux sebelum versi 5.8.6, macOS sebelum versi 5.7.3, dan Windows sebelum versi 5.6.3. Hal ini dapat menyebabkan masalah ketersediaan pada host klien dengan sumber daya sistem yang melelahkan.

Pengguna dapat membantu menjaga diri mereka tetap aman dengan menerapkan pembaruan saat ini atau mengunduh perangkat lunak Zoom terbaru dengan semua pembaruan keamanan saat ini dari https://zoom.us/download.

Produk yang Terpengaruh:

• Semua Zoom Client for Meetings untuk Android sebelum versi 5.8.6
• Semua Zoom Client for Meetings untuk iOS sebelum versi 5.9.0
• Semua Zoom Client for Meetings untuk Linux sebelum versi 5.8.6
• Semua Zoom Client for Meetings untuk macOS sebelum versi 5.7.3
• Semua Zoom Client for Meetings untuk Windows sebelum versi 5.6.3

Sumber: Dilaporkan oleh Johnny Yu dari Walmart Global Tech

Keparahan: Kritis

Skor CVSS: 5.3

String Vektor CVSS: CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L

Deskripsi: Kerentanan ditemukan di Klien Keybase untuk Windows sebelum versi 5.6.0 ketika pengguna menjalankan perintah "keybase git lfs-config" pada baris perintah. Dalam versi sebelum 5.6.0, aktor jahat dengan akses tulis ke repositori Git pengguna dapat memanfaatkan kerentanan ini untuk berpotensi menjalankan perintah Windows sewenang-wenang pada sistem lokal pengguna.

Pengguna dapat membantu menjaga diri mereka tetap aman dengan menerapkan pembaruan saat ini atau mengunduh perangkat lunak Keybase terbaru dengan semua pembaruan keamanan saat ini dari https://keybase.io/download.

Produk yang Terpengaruh:

• Semua Klien Keybase untuk Windows sebelum versi 5.6.0

Sumber: Dilaporkan oleh RyotaK

Keparahan: Kritis

Skor CVSS: 5.3

String Vektor CVSS: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Deskripsi: Kerentanan ditemukan dalam produk yang tercantum di bagian "Produk yang Terpengaruh" dari buletin ini yang berpotensi memungkinkan paparan keadaan memori proses. Masalah ini dapat digunakan untuk berpotensi mendapatkan wawasan tentang area sewenang-wenang dari memori produk.

Zoom telah mengatasi masalah ini dalam rilis terbaru dari produk yang tercantum di bagian di bawah ini. Pengguna dapat membantu menjaga diri mereka tetap aman dengan menerapkan pembaruan saat ini atau mengunduh perangkat lunak Zoom terbaru dengan semua pembaruan keamanan saat ini.

Produk yang Terpengaruh:

• Zoom Client for Meetings (untuk Android, iOS, Linux, macOS, dan Windows) sebelum versi 5.8.4
• Zoom Client for Meetings untuk Blackberry (untuk Android dan iOS) sebelum versi 5.8.1
• Zoom Client for Meetings untuk intune (untuk Android dan iOS) sebelum versi 5.8.4
• Zoom Client for Meetings untuk Chrome OS sebelum versi 5.0.1
• Zoom Rooms untuk Ruang Konferensi (untuk Android, AndroidBali, macOS, dan Windows) sebelum versi 5.8.3
• Pengontrol untuk Zoom Rooms (untuk Android, iOS, dan Windows) sebelum versi 5.8.3
• Zoom VDI Windows Meeting Client sebelum versi 5.8.4
• Plugin Zoom VDI Azure Virtual Desktop (untuk Windows x86 atau x64, IGEL x64, Ubuntu x64, HP ThinPro OS x64) sebelum versi 5.8.4.21112
• Plugin Zoom VDI Citrix (untuk Windows x86 atau x64, Mac Universal Installer &Uninstaller, IGEL x64, eLux RP6 x64, HP ThinPro OS x64, Ubuntu x64, CentOS x 64, Dell ThinOS) sebelum versi 5.8.4.21112
• Plugin Zoom VDI VMware (untuk Windows x86 atau x64, Mac Universal Installer &Uninstaller, IGEL x64, eLux RP6 x64, HP ThinPro OS x64, Ubuntu x64, CentOS x 64, Dell ThinOS) sebelum versi 5.8.4.21112
• Zoom Meeting SDK untuk Android sebelum versi 5.7.6.1922
• Zoom Meeting SDK untuk iOS sebelum versi 5.7.6.1082
• Zoom Meeting SDK untuk Windows sebelum versi 5.7.6.1081
• Zoom Meeting SDK untuk Mac sebelum versi 5.7.6.1340
• Zoom Video SDK (untuk Android, iOS, macOS, dan Windows) sebelum versi 1.1.2
• Konektor Rapat Lokal Zoom sebelum versi 4.8.12.20211115
• MMR Konektor Rapat Zoom Lokal sebelum versi 4.8.12.20211115
• Konektor Perekaman Zoom Lokal sebelum versi 5.1.0.65.20211116
• Zoom On-Premise Virtual Room Connector sebelum versi 4.4.7266.20211117
• Zoom On-Premise Virtual Room Connector Load Balancer sebelum versi 2.5.5692.20211117
• Zoom Hybrid Zproxy sebelum versi 1.0.1058.20211116
• Zoom Hybrid MMR sebelum versi 4.6.20211116.131_x86-64

Sumber: Dilaporkan oleh Natalie Silvanovich dari Google Project Zero

Keparahan: Kritis

Skor CVSS: 7.2

String Vektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N

Deskripsi: Klien Keybase untuk Windows sebelum versi 5.7.0 berisi kerentanan traversal jalur saat memeriksa nama file yang diunggah ke folder tim. Pengguna jahat dapat mengunggah file ke folder bersama dengan nama file yang dibuat khusus yang memungkinkan pengguna untuk menjalankan aplikasi yang tidak dimaksudkan pada mesin host mereka. Jika pengguna jahat memanfaatkan masalah ini dengan fitur berbagi folder publik dari klien Keybase, ini dapat menyebabkan eksekusi kode jarak jauh.

Keybase mengatasi masalah ini di 5.7.0 Klien Keybase untuk rilis Windows. Pengguna dapat membantu menjaga diri mereka tetap aman dengan menerapkan pembaruan saat ini atau mengunduh perangkat lunak Keybase terbaru dengan semua pembaruan keamanan saat ini dari https://keybase.io/download.

Produk yang Terpengaruh:

• Klien Keybase untuk Windows sebelum versi 5.7.0

Sumber: Dilaporkan oleh m4t35z

Keparahan: Kritis

Skor CVSS: 4.7

String Vektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:N/I:L/A:N

Deskripsi: Penginstal Zoom Client for Meetings untuk Windows sebelum versi 5.5.4 tidak memverifikasi tanda tangan file dengan ekstensi .msi, .ps1, dan .bat. Hal ini dapat menyebabkan aktor jahat menginstal perangkat lunak berbahaya di komputer pelanggan.

Zoom mengatasi masalah ini di Rilis 5.5.4 Zoom Client for Meetings for Windows. Pengguna dapat membantu menjaga diri mereka tetap aman dengan menerapkan pembaruan saat ini atau mengunduh perangkat lunak Zoom terbaru dengan semua pembaruan keamanan saat ini dari https://zoom.us/download.

Produk yang Terpengaruh:

• Semua Zoom Client for Meetings untuk Windows sebelum versi 5.5.4

Sumber: Dilaporkan oleh Laurent Delosieres dari ManoMano

Keparahan: Kritis

Skor CVSS: 4,0

String Vektor CVSS: CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L

Deskripsi: Layanan login konsol web untuk produk yang tercantum di bagian "Produk yang Terpengaruh" dari buletin ini, gagal memvalidasi bahwa byte NULL dikirim saat mengautentikasi. Hal ini dapat menyebabkan crash dari layanan login.

Produk yang Terpengaruh:

• Pengontrol Konektor Rapat Lokal Zoom sebelum versi 4.6.239.20200613
• MMR Konektor Rapat Zoom Lokal sebelum versi 4.6.239.20200613
• Konektor Perekaman Zoom Lokal sebelum versi 3.8.42.20200905
• Zoom On-Premise Virtual Room Connector sebelum versi 4.4.6344.20200612
• Zoom On-Premise Virtual Room Connector Load Balancer sebelum versi 2.5.5492.20200616

Sumber: Dilaporkan oleh Jeremy Brown

Keparahan: Kritis

Skor CVSS: 5.5

String Vektor CVSS: CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:C/C:L/I:L/A:N

Deskripsi: Portal web pengaturan administratif alamat jaringan untuk Konektor Rapat Zoom lokal sebelum versi 4.6.360.20210325, MMR Konektor Rapat Zoom lokal sebelum versi 4.6.360.20210325, Konektor Perekaman Zoom lokal sebelum versi 3.8.44.20210326, Konektor Ruang Virtual Zoom lokal sebelum versi 4.4.6752.20210326, dan Penyeimbang Beban Konektor Ruang Zoom Lokal sebelum versi 2.5.5495.20210326 gagal memvalidasi input yang dikirim dalam permintaan untuk memperbarui jaringan konfigurasi, yang dapat menyebabkan injeksi perintah jarak jauh pada gambar lokal oleh administrator portal web.

Produk yang Terpengaruh:

• Konektor Rapat lokal Zoom sebelum versi 4.6.360.20210325
• MMR Konektor Rapat Zoom Lokal sebelum versi 4.6.360.20210325
• Konektor Perekaman Zoom Lokal sebelum versi 3.8.44.20210326
• Zoom On-Premise Virtual Room Connector sebelum versi 4.4.6752.20210326
• Zoom on-premise Virtual Room Connector Load Balancer sebelum versi 2.5.5495.20210326

Sumber: Dilaporkan oleh Egor Dimitrenko dari Positive Technologies

Keparahan: Kritis

Skor CVSS: 7.2

String Vektor CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Deskripsi: Halaman proksi jaringan di portal web untuk Pengontrol Konektor Rapat lokal Zoom sebelum versi 4.6.348.20201217, Zoom ON-PREMISE Meeting Connector MMR sebelum versi 4.6.348.20201217, Zoom on-premise Recording Connector sebelum versi 3.8.42.20200905, Zoom on-premise Virtual Room Connector sebelum versi 4.4.6620.20201110, dan Zoom on-premise Virtual Room Connector Load Balancer sebelum versi 2.5.5495.20210326 gagal memvalidasi input yang dikirim dalam permintaan untuk memperbarui proxy jaringan konfigurasi, yang dapat menyebabkan injeksi perintah jarak jauh pada gambar lokal oleh administrator portal web.

Produk yang Terpengaruh:

• Pengontrol Konektor Rapat Lokal Zoom sebelum versi 4.6.348.20201217
• MMR Konektor Rapat Zoom Lokal sebelum versi 4.6.348.20201217
• Konektor Perekaman Zoom Lokal sebelum versi 3.8.42.20200905
• Zoom On-Premise Virtual Room Connector sebelum versi 4.4.6620.20201110
• Zoom on-premise Virtual Room Connector Load Balancer sebelum versi 2.5.5495.20210326

Sumber: Dilaporkan oleh Egor Dimitrenko dari Positive Technologies

Keparahan: Kritis

Skor CVSS: 4.4

String Vektor CVSS: CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N

Deskripsi: Selama proses instalasi untuk semua versi Zoom Client for Meetings untuk Windows sebelum 5.4.0, dimungkinkan untuk meluncurkan Internet Explorer. Jika penginstal diluncurkan dengan hak istimewa yang ditinggikan seperti oleh SCCM, ini dapat mengakibatkan eskalasi hak istimewa lokal.

Pengguna dapat membantu menjaga diri mereka tetap aman dengan menerapkan pembaruan saat ini atau mengunduh perangkat lunak Zoom terbaru dengan semua pembaruan keamanan saat ini dari https://zoom.us/download.

Produk yang Terpengaruh:

• Zoom Client for Meetings untuk Windows sebelum versi 5.4.0

Sumber: Dilaporkan oleh Lockheed Martin Red Team

Keparahan: Kritis

Skor CVSS: 7.0

String Vektor CVSS: CVSS:3.0/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H

Deskripsi: Direktori yang dapat ditulis pengguna yang dibuat selama instalasi Zoom Client for Meetings untuk versi Windows sebelum versi 5.3.2 dapat dialihkan ke lokasi lain menggunakan persimpangan. Ini akan memungkinkan penyerang untuk menimpa file yang tidak dapat dimodifikasi oleh pengguna terbatas.

Pengguna dapat membantu menjaga diri mereka tetap aman dengan menerapkan pembaruan saat ini atau mengunduh perangkat lunak Zoom terbaru dengan semua pembaruan keamanan saat ini dari https://zoom.us/download.

Produk yang Terpengaruh:

• Zoom Client for Meetings untuk Windows sebelum versi 5.3.2

Sumber: Dilaporkan oleh Lockheed Martin Red Team

Keparahan: Kritis

Skor CVSS: 8.1

String Vektor CVSS: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H/CR:H/IR:H/AR:H/MAV:N/MAC:H/MPR:N/MUI:N/MS:U/MC:H/MI:H/MA:H

Deskripsi: Buffer overflow berbasis heap ada di semua versi desktop Zoom Client for Meetings sebelum versi 5.6.3. Temuan ini dilaporkan ke Zoom sebagai bagian dari Pwn20wn Vancouver 2021. Rantai serangan yang ditunjukkan selama Pwn20wn dikurangi dalam perubahan sisi server dalam infrastruktur Zoom pada 2021-04-09.

Ketika dikombinasikan dengan dua masalah lain yang dilaporkan selama Pwn20wn - validasi URL yang tidak tepat saat mengirim pesan XMPP untuk mengakses URL aplikasi Zoom Marketplace dan validasi URL yang salah saat menampilkan gambar GIPHY - pengguna jahat dapat mencapai eksekusi kode jarak jauh di komputer target.
Target harus sebelumnya menerima Permintaan Koneksi dari pengguna berbahaya atau berada dalam obrolan multi-pengguna dengan pengguna jahat agar serangan ini berhasil. Rantai serangan yang ditunjukkan di Pwn20wn dapat sangat terlihat oleh target, menyebabkan beberapa pemberitahuan klien terjadi.

Pengguna dapat membantu menjaga diri mereka tetap aman dengan menerapkan pembaruan saat ini atau mengunduh perangkat lunak Zoom terbaru dengan semua pembaruan keamanan saat ini dari https://zoom.us/download.

Produk yang Terpengaruh:

• Semua versi desktop Zoom Client for Meetings sebelum 5.6.3

Sumber: Dilaporkan oleh Daan Keuper dan Thijs Alkemade dari Computest melalui Zero Day Initiative

Keparahan: Kritis

Skor CVSS: 7.8

String Vektor CVSS: CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Deskripsi: Kerentanan yang terkait dengan pemuatan Dynamic-link Library ("DLL") di Layanan Berbagi Zoom dapat memungkinkan pengguna Windows lokal untuk meningkatkan hak istimewa kepada pengguna NT AUTHORITY/SYSTEM.

Kerentanan ini disebabkan oleh pemeriksaan tanda tangan yang tidak memadai dari DLL yang dimuat secara dinamis saat memuat executable yang ditandatangani. Penyerang dapat mengeksploitasi kerentanan ini dengan menyuntikkan DLL berbahaya ke dalam executable Zoom yang ditandatangani dan menggunakannya untuk meluncurkan proses dengan izin yang ditinggikan.

Zoom mengatasi masalah ini dalam rilis klien 5.0.4. Pengguna dapat membantu menjaga diri mereka tetap aman dengan menerapkan pembaruan saat ini atau mengunduh perangkat lunak Zoom terbaru dengan semua pembaruan keamanan saat ini dari https://zoom.us/download.

Produk yang Terpengaruh:

• Versi penginstal Zoom Windows (ZoomInstallerFull.msi) sebelum 5.0.4

Sumber: Connor Scott dari Context Information Security

Keparahan: Kritis

Skor CVSS: Basis: 7.5

String Vektor CVSS: CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H

Deskripsi: Kerentanan di Zoom Client untuk macOS dapat memungkinkan penyerang mengunduh perangkat lunak berbahaya ke perangkat korban.

Kerentanan ini disebabkan oleh validasi input yang tidak tepat dan validasi perangkat lunak yang diunduh di aplikasi pembantu ZoomOpener. Penyerang dapat mengeksploitasi kerentanan untuk meminta perangkat korban mengunduh file atas nama penyerang. Eksploitasi yang berhasil hanya dimungkinkan jika korban sebelumnya menghapus Instalan Klien Zoom.

Zoom mengatasi masalah ini dalam rilis klien 4.4.52595.0425. Pengguna dapat membantu menjaga diri mereka tetap aman dengan menerapkan pembaruan saat ini atau mengunduh perangkat lunak Zoom terbaru dengan semua pembaruan keamanan saat ini dari https://zoom.us/download.

Produk yang Terpengaruh:

• Zoom Client untuk macOS sebelum versi 4.4.52595.0425 dan setelah versi 4.1.27507.0627

Sumber: Tidak diketahui

Keparahan: Kritis

Skor CVSS: Basis: 3.1

String Vektor CVSS: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H

Deskripsi: Kerentanan pada Zoom Client untuk macOS dapat memungkinkan penyerang jarak jauh yang tidak diautentikasi untuk memicu kondisi penolakan layanan pada sistem korban.

Kerentanan ini disebabkan oleh kontrol otorisasi yang tidak memadai untuk memeriksa sistem mana yang dapat berkomunikasi dengan server Web Zoom lokal yang berjalan pada port 19421. Penyerang dapat mengeksploitasi kerentanan ini dengan membuat situs web berbahaya yang menyebabkan klien Zoom berulang kali mencoba bergabung dalam rapat dengan ID rapat yang tidak valid. Loop tak terbatas menyebabkan klien Zoom menjadi tidak beroperasi dan dapat memengaruhi performa sistem tempat ia berjalan.

Zoom merilis versi 4.4.2-hotfix untuk klien macOS pada 28 April 2019 guna mengatasi masalah tersebut. Pengguna dapat membantu menjaga diri mereka tetap aman dengan menerapkan pembaruan saat ini atau mengunduh perangkat lunak Zoom terbaru dengan semua pembaruan keamanan saat ini dari https://zoom.us/download.

Produk yang Terpengaruh:

• Zoom Client untuk macOS sebelum versi 4.4.5
• Klien RingCentral macOS sebelum versi 4.4.5

Sumber: Ditemukan oleh Jonathan Leitschuh.