Homeoffice: Neue Sicherheitslücken in Zoom entdeckt

Zugriff auf die Kamera, Root-Rechte und bösartige Links - in Sachen Sicherheit steht Zoom nicht gut da.

Artikel veröffentlicht am 2. April 2020, 12:04 Uhr, Moritz Tremmel

Sicherheitslücken und Datenschutzprobleme in Zoom nehmen zu. (Bild: Zoom)

Durch die Coronapandemie sind viele Kollegen, Freunde und Familien nur noch über das Internet oder Telefon zu erreichen. Um sich trotzdem sehen und besprechen zu können, setzten viele derzeit auf die Videokonferenzsoftware Zoom.

Doch Sicherheitsforscher finden immer wieder neue Sicherheits- und Datenschutzprobleme in der Software. Mit verschiedenen, teils sehr einfachen Tricks, lassen sich Programme auf Windowsrechnern starten, auf Webcam und Mikrofon auf dem Mac zugreifen oder die Rechte ausweiten. Zudem wirbt Zoom mit einer Ende-zu-Ende-Verschlüsselung, die es gar nicht gibt.

Neue Sicherheitslücken in Zoom

Zoom erkennt URLs in Textnachrichten, beispielsweise im Chat, und verlinkt diese. Dies geschieht allerdings auch mit UNC-Links wie \\?\\C:\Windows\System32\calc.exe. Ein Klick auf diesen startet beispielsweise den Taschenrechner. Mit solchen Links könnte jedoch auch Schadsoftware ausgeführt oder ein Denial-of-Service-Angriff gestartet werden, betont der Sicherheitsforscher Tavis Ormandy von Googles Project Zero. Die URLs könnten zudem leicht getarnt werden.

Andere Sicherheitsforscher sehen die Möglichkeit, mit einem solchen Link auf einen SMB-Share im Internet zu verweisen. Klicke ein Nutzer darauf, würde automatisch ein NTLM-Passwort-Hash an den SMB-Server übertragen. "Bei Zoom ist die Gewährleistung der Privatsphäre und Sicherheit unserer Nutzer und ihrer Daten von höchster Bedeutung. Wir sind uns des UNC-Problems bewusst und arbeiten daran, es anzugehen", sagte ein Zoom-Sprecher dem Onlinemagazin Bleepingcomputer.

Sicherheitslücken auf dem Mac erlauben Root-Rechte und Kamerazugriff

Bereits die Installation der Zoom-Software auf dem Mac setzt auf eine merkwürdige Vorgehensweise. Sofern der Nutzer über Administratorenrechte verfügt, wird die Software nach einem Klick auf das Paket direkt installiert. Alternativ triggert die Software eine Systemabfrage nach dem Benutzernamen und dem Passwort des Administrators. Eine weitere Bestätigung des Installationsvorganges gibt es nicht. Solche Tricks werden sonst von Schadsoftware auf dem Mac verwendet.

Bei der Installation und möglicherweise auch bei Updates der Zoom-Software ist zudem eine Rechte-Auswertung möglich. Laut dem Sicherheitsforscher Patrick Wardle führt Zoom bei der Installation ein Script mit dem Namen "runwithroot" als Root aus. Dieses werde ungeprüft verwendet und könne mit Nutzerrechten bearbeitet werden.

Mit einer weiteren Sicherheitslücke könne Code in den Zoom-Prozess eingeschleust werden und so auf die Kamera und das Microfon des Macs zugegriffen werden. Diese könnten zu beliebigen Zeitpunkten aktiviert werden ohne dass eine Nutzerabfrage stattfinde, betont Wardle. "Obwohl Zoom unglaublich populär ist, hat es eine eher trostlose Geschichte in Sachen Sicherheit und Datenschutz", schreibt Wardle und verweist auf eine Sicherheitslücke aus dem vergangenen letzten Jahr, mit welcher ebenfalls unbemerkt die Kamera von Zoom-Nutzer aktiviert werden konnte.

Damit nicht genug leakt Zoom unter bestimmten Umständen auch die Kontaktdaten von anderen Nutzern und bewirbt seine Transportverschlüsselung als Ende-zu-Ende-Verschlüsselung - doch nur bei Letzterer könnte Zoom die Konferenz-Inhalte nicht selbst einsehen. Mehrere Firmen haben den Einsatz der Software bereits untersagt.