Bug no Zoom deixava qualquer pessoa em uma chamada vulnerável a invasão de PC e celular

O Zoom corrigiu três falhas na ferramenta de anotação que permitiam a um participante de uma chamada assumir o controle do dispositivo de outra pessoa na mesma reunião. O ataque funcionava nos dois sentidos: quem compartilhava a tela podia invadir quem assistia, e quem assistia podia invadir quem compartilhava.

As vulnerabilidades não exigiam nenhuma ação da vítima. Bastava estar na chamada. Não havia clique, download, nem qualquer sinal na tela que indicasse a invasão, segundo o Hacker News.

As falhas foram descobertas pela A Security, startup de segurança. A empresa afirma ter usado modelos de IA disponíveis publicamente para encontrar o problema e montar um exploit funcional em menos de um dia, com menos de 20 comandos de texto.

O cofundador Omer Gull disse à Wired que a descoberta levaria uma equipe de cinco pessoas cerca de seis meses de trabalho antes da IA. "Zoom é um tipo de alvo importante porque as pessoas confiam nele. Não o veem como uma ameaça", afirmou.

Como a falha funcionava

O problema estava no protocolo de anotação em tempo real, recurso que permite desenhar e escrever sobre uma tela compartilhada. Segundo a reconstrução técnica feita pela A Security, já que o Zoom não divulgou detalhes internos, o desenho enviado por um participante é convertido em um objeto de dados e trafega como uma sequência de contagens seguida do conteúdo.

Uma das falhas preenchia um buffer fixo de 128 bytes sem checar se os dados cabiam nesse espaço.