Zoom corrige falha crítica que permitia sequestro de dispositivo em chamadas com compartilhamento de tela

A Zoom publicou nesta terça-feira um comunicado de segurança detalhando correções para vulnerabilidades que poderiam ter sido exploradas para assumir o controle de dispositivos de participantes em chamadas de vídeo. Segundo reportagem da Wired, qualquer pessoa em uma chamada que envolvesse compartilhamento de tela, fosse participante ou host, estava vulnerável a um ataque silencioso, sem qualquer indicação ou interação da vítima.

A falha estava especificamente no protocolo usado para viabilizar a anotação em tempo real durante o compartilhamento de tela. As correções já começaram a ser distribuídas, com patches tanto do lado do servidor quanto do lado do cliente (as aplicações que rodam nos dispositivos dos usuários).

Todos os sistemas afetados

De acordo com o comunicado da empresa citado pela Wired, as vulnerabilidades atingiam dispositivos em todos os sistemas operacionais suportados pelo Zoom: Windows, macOS, Linux, iOS e Android. A Zoom não respondeu aos múltiplos pedidos de comentário feitos pela Wired.

O bug foi descoberto no início de junho por pesquisadores da empresa de defesa digital A Security. O detalhe que mais chama atenção: a descoberta foi feita usando modelos de IA publicamente disponíveis, e levou menos de 20 prompts para encontrar as vulnerabilidades e criar um ataque funcional.

A barreira de entrada despencou

"O que é interessante para nós e o que acreditamos ser perigoso é a democratização dessas capacidades, a barreira de entrada está caindo rapidamente", disse à Wired Omer Gull, cofundador da A Security. "Antes, isso teria exigido uma equipe de cinco pessoas, talvez seis meses, com muito refinamento e iteração para encontrar. Agora as pessoas conseguem os mesmos resultados com menos de 20 prompts."

Segundo os pesquisadores, os sistemas de caça a bugs baseados em IA foram atrás justamente do componente de anotação porque, como caçadores humanos de vulnerabilidades, foram treinados a entender que funções obscuras e complexas costumam conter falhas negligenciadas, especialmente em software proprietário e de código fechado, que não passa pela revisão pública aberta.

O outro cofundador da A Security, Yossi Torati, resumiu o risco à Wired: "Se você simplesmente entrar em um Zoom conosco, podemos assumir o controle do seu dispositivo." Ele descreveu ainda o cenário de pior caso, no qual um atacante em uma chamada com alguém de uma empresa poderia tomar controle do computador e das credenciais dessa pessoa e, em seguida, usá-las para se mover lateralmente dentro da organização.

O que isso muda para quem trabalha com software no Brasil

Reuniões remotas via Zoom são parte da rotina de boa parte dos times de desenvolvimento brasileiros, seja em empresas com operação distribuída, seja em contratos com clientes no exterior. O compartilhamento de tela em dailies, code reviews e apresentações é rotina, exatamente o vetor que estava exposto.

O ponto prático é direto: entrar em uma chamada é, por si só, um gesto de confiança, e as pessoas costumam baixar a guarda ao usar uma ferramenta tão onipresente. O risco de movimentação lateral descrito pelos pesquisadores é especialmente relevante para quem acessa ambientes corporativos, repositórios e credenciais a partir da mesma máquina usada nas reuniões.

Ações recomendadas:

• Atualize o cliente Zoom imediatamente em todos os dispositivos (desktop e mobile). As correções de client-side dependem da atualização da aplicação.
• Verifique a política de atualização automática nas máquinas do time e em ambientes gerenciados por MDM.
• Consulte o centro de segurança da Zoom para acompanhar o comunicado oficial e o CVE associado.

O episódio se soma a uma série recente de casos em que IA foi usada para encontrar e explorar vulnerabilidades em ritmo acelerado. Como resume a Wired, a velha metáfora do "jogo de gato e rato" na segurança está virando uma corrida aberta à medida que a caça a bugs assistida por IA se prolifera.

Fonte: Wired