Falha no Zoom afeta compartilhamento de telas

Uma falha no recurso de compartilhamento de tela do Zoom pode mostrar partes das telas que os apresentadores não pretendiam compartilhar. A falha de segurança CVE-2021-28133 foi encontrada na versão 5.5.4 da plataforma, segundo o ThreatPost, e pode vazar inadvertidamente os dados dos usuários para outros participantes da reunião. Segundo a publicação, por ser uma execução rápida, um ataque potencial é mais difícil de ser executado. 

O compartilhamento de tela da plataforma de videoconferência Zoom permite que os usuários compartilhem o conteúdo de suas telas com outros participantes em uma reunião optando por compartilhar sua tela inteira, uma ou mais janelas de aplicativos ou apenas uma área selecionada de sua tela. No entanto, "sob certas condições", se um apresentador do Zoom escolher compartilhar uma janela do aplicativo, o recurso de compartilhamento de tela transmite brevemente o conteúdo de outras janelas do aplicativo para os participantes da reunião. 

O problema ocorre quando um usuário compartilha uma janela dividida do aplicativo (como slides de apresentação em um navegador da Internet) e, ao abrir outros aplicativos em segundo plano, que deveria estar modo não compartilhado, o conteúdo da janela pode ser percebido por um “breve momento” pelos participantes da reunião.

O risco acontece principalmente se a reunião estiver sendo gravada e a parte visualizada apresentar dados sensíveis. O ThreatPost informa que seria difícil explorar o bug intencionalmente, pois o invasor precisaria ser um participante de uma reunião em que dados vazassem inadvertidamente, portanto a falha é considerada de gravidade média na escala CVSS.

A vulnerabilidade foi relatada por pesquisadores da SySS ao Zoom em 2 de dezembro. O ThreatPost afirma que entrou em contato com o Zoom para mais comentários sobre a falha e se ela será corrigida no próximo lançamento, programado para o dia 22 de março. “O Zoom leva todos os relatórios de vulnerabilidades de segurança a sério. Estamos cientes desse problema e estamos trabalhando para resolvê-lo”, disse um porta-voz da empresa ao ThreatPost.