PT-2020-12650 · Zoom+1 · Zoom Client For Meetings+2

Bill Marczak

+1

·

Publicado

2020-04-03

·

Atualizado

2022-10-14

·

CVE-2020-11500

CVSS v3.1

7.5

Alta

VetorAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Nome do software vulnerável e versões afetadas
Zoom Client for Meetings, versões 4.6.9 e anteriores
Microsoft Office 365 (versões afetadas não especificadas)
Descrição
O problema diz respeito ao uso do modo ECB do AES para criptografia, o que pode revelar informações estruturais sobre mensagens criptografadas. No caso do Zoom Client for Meetings, todos os participantes de uma reunião utilizam uma única chave de 128 bits para criptografia de vídeo e áudio. Da mesma forma, a criptografia de mensagens do Microsoft Office 365 utiliza o modo ECB, permitindo que invasores possam determinar o conteúdo das mensagens criptografadas por meio da análise de padrões. Esse problema já havia sido identificado em 2013 e novamente em 2020. Foi relatado que a Microsoft está ciente do problema desde janeiro de 2022, mas ainda não lançou uma correção, embora esteja trabalhando para adicionar um protocolo de criptografia alternativo às futuras versões do produto.
Recomendações
Para o Zoom Client for Meetings versões 4.6.9 e anteriores: atualize para uma versão que utilize um modo de operação seguro para criptografia AES.
Para o Microsoft Office 365: como solução temporária, considere usar métodos ou serviços de criptografia alternativos até que um patch esteja disponível. Restrinja o acesso a informações confidenciais enviadas pelo Office 365 para minimizar o risco de exploração.
No momento, não há informações sobre uma versão mais recente do Microsoft Office 365 que contenha uma correção para essa vulnerabilidade.

Exploit

Correção

Use of a Broken Cryptographic Algorithm

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

CVE-2020-11500

Produtos afetados

Office 365
Zoom Client For Meetings
Zoom