Pour gérer vos consentements :
Categories: Sécurité

Sécurité IT : attention aux logiciels en marque blanche

Votre logiciel en marque blanche, livré avec les mêmes failles de sécurité que l’original ?

On aura pu constater l’existence de ce phénomène à travers plusieurs applications de visioconférence pour Mac.

La première alerte avait été donnée le 8 juillet 2019. Il y était question d’une vulnérabilité – corrigée depuis lors* – dans le logiciel Zoom.

Cette vulnérabilité peut entraîner l’ouverture automatique de l’application, webcam activée, à l’insu de l’utilisateur.
Elle tire parti de la fonction Auto-Join, censée permettre d’ouvrir une session en cliquant simplement sur un lien.

Le chercheur en sécurité Jonathan Leischuh s’est aperçu qu’il était possible de faire appel à Auto-Join par le biais d’un iframe intégré à toute page web.
Il est revenu en détail sur la chronologie de l’affaire, depuis sa première tentative de prise de contact avec l’éditeur, le 8 mars dernier via Twitter. Et a suggéré, à cette occasion, que d’autres logiciels exploitant la technologie Zoom étaient certainement touchés.

Son hypothèse se confirme, avec au moins deux noms sur la liste. D’un côté, RingCentral, qui revendique « plus de 350 000 » entreprises clientes. De l’autre, Zhumu, version chinoise de Zoom.

L’UX vaut bien une faille

Zhumu n’a pas encore diffusé de mise à jour (la dernière remonte au 17 juin).

RingCentral affirme pour sa part avoir colmaté la brèche dans la dernière version (7.0.151508.0712) de son app.
L’update supprime le principal point de friction, à savoir un serveur web local qui tourne en arrière-plan, sur le port 19421, pour détecter les appels à Auto-Join.

Zoom dit l’avoir mis en place au nom de l’expérience utilisateur. En l’occurrence, pour contourner l’affichage systématique, par le navigateur Safari (à partir de la version 12), d’une alerte demandant confirmation à l’utilisateur pour lancer une session de visio lorsqu’il clique sur un lien.

Ce serveur web local a d’autres capacités, selon Jonathan Leischuh, dont celle de réinstaller l’application si elle a été supprimée. Associé à d’autres failles, il est potentiellement exploitable pour injecter à distance du code malveillant.

* Zoom diffuse un correctif depuis le 9 juillet. Le lendemain, Apple avait commencé à déployer une mise à jour de macOS qui supprime le serveur web local. Cette suppression peut aussi se faire manuellement pour les trois logiciels sus-évoqués.

Photo d’illustration © RingCentral

Recent Posts

Teams de plus en plus connecté aux CRM

La croissance de Teams passe par son intégration avec les principales solutions de CRM. Si…

5 jours ago

Windows 365 : focus sur la solution DaaS de Microsoft

À quoi ressemble Windows 365 ? Gros plan sur l' offre DaaS de Microsoft fondée…

7 jours ago

Poste de travail : comment les Chromebook font leur trou

Plusieurs indicateurs illustrent l'augmentation des Chromebook sur le marché du PC. Reste à savoir s'il…

1 semaine ago

Assurances cyber : ce que prévoit l’État pour 2022

Face aux attaques répétées qui menacent les entreprises, le gouvernement veut établir un plan d'action…

2 semaines ago

Open RAN : comprendre ces réseaux de nouvelle génération

Open RAN a été l'un des sujets forts de l'édition 2021 du MWC. Focus sur…

3 semaines ago

RGPD : comment transférer des données hors de l’UE

Pour effectuer des transferts de données personnelles vers des pays hors de la zone économique…

3 semaines ago