- Actualización: recomendamos descargar la última versión de Zoom (5.0) que incluye sólidas mejoras de seguridad, como el cifrado GCM en toda la plataforma, proporcionando una mayor protección para los datos de cada reunión. Para conocer más detalles y actualizar tu aplicación, ingresa a https://zoom.us/docs/es-es/zoom-v5-0.html
Zoom ha experimentado un aumento súbito en la demanda, ocasionado por la pandemia del Covid-19, por lo cual todas las miradas le apuntan, generándose comentarios positivos a su operación, y también críticas a ciertos aspectos de su arquitectura.
En este contexto, y a fin de evitar que nuestra comunidad experimente problemas de seguridad durante sus reuniones, desde REUNA hemos aplicado las siguientes restricciones en nuestra plataforma de Zoom:
- Se deshabilitó la opción “Unirse antes que el anfitrión”.
- Se deshabilitó la opción “Transferir archivos”.
- Se deshabilitó la opción “Permitir a los usuarios agregar contactos”.
- Se deshabilitó la opción “Permitir a los usuarios chatear con otros”. Esto es fuera de la reunión, ya que durante la reunión se puede seguir chateando.
- Se deshabilitó la opción “Permitir que participantes eliminados se unan nuevamente a la reunión.”
- Se deshabilitó la opción “Tomar control remoto de escritorio”.
- Se habilitó la opción “Contraseña para reunión agendada” y “Contraseña para sala personal”.
- Se habilitó la función “Sala de Espera”.
- Los requerimientos de instalar aplicaciones de 3ros en Zoom REUNA serán bloqueados.
Además, les recomendamos revisar:
El “Informe sobre aplicaciones para videoconferencia”, elaborado por el CSIRT del Gobierno de Chile, que incluye un análisis de ZOOM y una serie de buenas prácticas, sugeridas para los usuarios de este tipo de plataformas.
La noticia “Expertos llaman a la calma y dicen que Zoom se puede seguir usando”, publicada por el Diario Financiero y disponible en el portal de NexNews.
Vulnerabilidades y respuesta de ZOOM
A continuación, detallamos las vulnerabilidades detectadas y las acciones que ha realizado ZOOM hasta el momento (actualizadas al 06-04-2020), así como algunas recomendaciones para los usuarios:
Cliente de Zoom Versión comprometida: 4.4.53932.0709
Sistema Operativo: macOS
Vulnerabilidad: Permisos para ejecución de código remoto
Detalle: Si el demonio ZoomOpener (también conocido como el servidor web oculto) se está ejecutando, pero el Cliente Zoom no está instalado o no se puede abrir, un atacante puede ejecutar código de forma remota con una URL de inicio creada con fines maliciosos. NOTA: ZoomOpener se elimina con la Herramienta de eliminación de malware de Apple (MRT) si esta herramienta está habilitada y tiene el MRTConfigData 2019-07-10.
Acciones por parte de Zoom: Actualización crítica del cliente
Recomendaciones usuario final: sin acción necesaria
Cliente de Zoom Versión comprometida: 4.6.8 (19178.0323)
Sistema Operativo: Windows
Vulnerabilidad: Robo de credenciales
Detalle: Zoom le permitiría a un atacante robar las credenciales de acceso de los usuarios que hacen clic en un enlace para unirse a una reunión. Esto se debe a que, en este sistema operativo, Zoom es vulnerable a la inyección de ruta UNC en la función de chat.
Acciones por parte de Zoom: Actualización crítica del cliente a la versión 4.6.9 (19523.0401).
Recomendaciones usuario final: Para evitar este tipo de ataques, los investigadores de seguridad recomiendan establecer en la configuración de Windows la restricción del tráfico NTLM a servidores remotos. Para hacerlo, hay que ir al menú de Configuración de Windows, luego ingresar en Ajustes locales/ Opciones de seguridad/ Seguridad de red y seleccionar la opción “denegar todos” en la restricción de NTLM a servidores remotos.
Cliente de Zoom Versión comprometida: 4.6.8 (19178.0323)
Sistema Operativo: macOS
Vulnerabilidad: Instalación de malware
Detalle: Un atacante local con privilegios de usuario de bajo nivel podría inyectar al instalador de Zoom un código malicioso para obtener el nivel más alto de privilegios de usuario, es decir para ser usuario root.
Acciones por parte de Zoom: Pendiente
Recomendaciones usuario final: Mantener actualizado el cliente de escritorio de Zoom en la última versión.
Cliente de Zoom Versión comprometida: 4.6.8 (19178.0323)
Sistema Operativo: macOS
Vulnerabilidad: Hackeo de cámara y micrófono
Detalle: Hay otro error también en la aplicación para MacOS, que explota una falla en cómo Zoom maneja la cámara web y el micrófono en MacOS. Zoom, como cualquier aplicación que necesita acceso a la cámara web y el micrófono, primero requiere el consentimiento del usuario.
Acciones por parte de Zoom: Pendiente
Recomendaciones usuario final: Mantener actualizado el cliente de escritorio de Zoom en la última versión.
Cliente de Zoom Versión comprometida: Todas
Sistema Operativo: Todas
Vulnerabilidad: Zoom bombing o acceso sin permiso a reuniones privadas
Detalle: Se descubrió que estas identificaciones de reuniones son fáciles de adivinar e incluso se pueden obtener por fuerza bruta, lo cual permite a cualquiera entre a las reuniones.
Acciones por parte de Zoom: A raíz de este incidente, Zoom ajustó las configuraciones predeterminadas para cuentas educativas la semana pasada, para que esto no ocurra.
Recomendaciones usuario final: Para evitar este tipo de ataques, se debe ajustar la configuración de Zoom. En este sentido, hay que ir al menú de configuración y donde dice “compartir pantalla” elegir que sólo la pueda compartir el anfitrión. Por otra parte, cabe señalar que las videollamadas de Zoom se pueden bloquear, para evitar que otras personas accedan a ellas, una vez que ya se inició la reunión. Par hacerlo, hay que ingresar en “Participantes”, y luego presionar la opción “bloquear conferencia”.
Cliente de Zoom Versión comprometida: Todas
Sistema Operativo: Todas
Vulnerabilidad: Envío de información a terceros y otras formas de monitoreo.
Detalle: Falla que permitía el envío de datos del dispositivo a Facebook. Zoom tuvo que reescribir partes de su política de privacidad tras este incidente.
Acciones por parte de Zoom: Actualización crítica del cliente.
Recomendaciones usuario final: sin acción necesaria.
Cliente de Zoom Versión comprometida: Todas
Sistema Operativo: Todas
Vulnerabilidad: No cuenta con cifrado de extremo a extremo en las videoconferencias
Detalle: “No es posible habilitar el cifrado E2E para las reuniones de video de Zoom”, dijo un vocero de la compañía en un comunicado enviado al sitio The Intercept, después de que la publicación revelara que Zoom en realidad está usando cifrado TLS y no de extremo a extremo.
Acciones por parte de Zoom: Los datos se cifran entre el usuario y los servidores de Zoom. El término cifrado de extremo a extremo generalmente se refiere a proteger el contenido entre los usuarios sin ningún tipo acceso de la empresa, tal como lo hacen Signal o WhatsApp. Pero Zoom no ofrece ese nivel de cifrado.
Recomendaciones usuario final: sin acción necesaria.
Fuente: https://blog.zoom.us/
