ビデオ会議アプリのZoomは日本を含む全世界で広く使われていますが、そのmacOS版にハッカーがroot権限（なんでもできる権限）でアクセスし、OS全体の制御を乗っ取れる脆弱性が見つかったと報告されています。しかも、この脆弱性はまだ完全に修正されていないそうです。
これは元NSA（米国家安全保障局）のMacセキュリティ専門家Patrick Wardle氏が、世界最大のセキュリティ国際会議「DEFCON」にてプレゼンテーションしたもの。すでに関連バグのいくつかはZoom社が修正したものの、まだ対応されてない脆弱性が明かされた格好です。
Wardle氏によれば、この脆弱性はZoomアプリのインストーラーを対象としているそうです。Zoomをインストールまたはアンインストールするには特別な権限が必要（そのため、ユーザーがパスワードを入力して許可する）ですが、自動更新機能がこの特別権限をバックグラウンドで実行し続けることを発見しました。
つまり、ユーザーがインストーラーに特別な権限を与えてしまえば、後は見えないところで、その権限を使い続けるというわけです。とはいえ、これはZoom社がアップデートを配信するたびに、アプリを更新するため必要な権限です。そのパッケージが同社の暗号署名付きであると確認してからアップデータ（アップデート機能）を実行する分には、何の問題もありません。
ところが、この暗号チェックにバグがあり、ハッカーがアップデータを騙して、悪意あるファイルをZoomの署名付きだと思い込ませることができました。そのため、ハッカーがあらゆる種類のマルウェアを送り込んだ上に、アップデータに権限を昇格させて実行できてしまったわけです。
この権限昇格攻撃により、ハッカーはMac上でrootまたはスーパーユーザー(最も強い権限を持つアカウント）権限を得ることができたそうです。理論的には、Mac上のあらゆるファイルを追加、削除、変更することも可能でした。
昨年12月、Wardle氏はこの脆弱性をZoom社に知らせたところ、修正プログラムを発行したとのこと。が、この修正にも別のバグが含まれており、まだ悪用される危険が残っていたそうです。そのため第2のバグとコードの修正方法もZoom社に報告したものの、半年以上も対応がなかったので一般公開に踏み切ったと語られています。
このバグはMac版Zoomアプリの最新版でも残っているものの、Wardle氏は修正するのは非常に簡単であり、これを公にしたことで同社がすぐ対処するよう「歯車を動かす」のを期待していると語っています。
これを受けてZoom社は「わが社はmacOS用のZoom自動アップデータに新たに報告された脆弱性を認識しており、その対処に真摯に取り組んでいます」との声明を出しました。その後、実際にmacOSアプリのバージョン5.7.3～5.11.3にはOSのルート権限を取得できる脆弱性があったと認め、いま配布中のバージョン5.11.4では修正されているようです。
ともあれWardle氏の呼びかけが届いたことに、胸をなで下ろしたいところです。以前のバージョンを使っている方は、速やかにアップデートをお勧めします。
Source:The Verge