Krytyczne podatności w Zoom pozwalały na zero-click RCE

Badacze z A.security odkryli krytyczne podatności w Zoom, które umożliwiają atakującemu uczestniczącemu w spotkaniu zdalne wykonanie kodu na urządzeniach uczestników spotkania bez żadnej interakcji z ich strony.

TLDR:

• Badacze z A.security odkryli w Zoom krytyczne podatności pozwalające na zero-click RCE – atakujący mógł wykonać własny kod na urządzeniu uczestnika bez jego interakcji.
• Podatność wykorzystywała mechanizm adnotacji Zooma, w którym parser podczas deserializacji nie sprawdzał rozmiaru kopiowanych danych względem docelowego bufora. 
• Wykorzystanie luki pozwalało na przepełnienie bufora i przejęcie kontroli nad przepływem wykonywania programu, prowadząc do zdalnego wykonania kodu.
• Badacze opisali także niezależną podatność typu “write-what-where”, oznaczoną jako CVE-2026-53415.
• Zoom wydał poprawki dla CVE-2026-53413 i CVE-2026-53414 w wersji 7.1.0, a CVE-2026-53415 została ostatecznie naprawiona po stronie klienta w wersji 7.1.5.

Do przeprowadzenia ataku wystarczyło, że ofiara była obecna na tym spotkaniu, co atakujący. Luka występuje w aplikacjach Zoom na każdym urządzeniu i systemie operacyjnym: Windows, Mac, iPhone, Android i Linux. Dotyczy wersji do 7.0.5 (włącznie), a w przypadku spotkań szyfrowanych end-to-end podatne pozostawały także wersje przed 7.1.5 i 7.0.6.

Podatność to memory-corruption wykorzystująca funkcję adnotacji w Zoom.

Adnotacje te są oparte na zastrzeżonym protokole – zamkniętym kodzie, bez publicznej dokumentacji. Badacze wykorzystali fakt, że klient Zooma automatycznie parsuje wszystko, co otrzyma z serwera. Wysłali więc specjalnie spreparowaną wiadomość w celu uszkodzenia pamięci po stronie odbierającego ją klienta i uruchomienia u niego kodu.

Adnotacje nie są przesyłane bezpośrednio do uczestników (peer-to-peer) – są za to przekazywane do serwera MMR (Multimedia Router) Zooma. Każdy uczestnik ma kanał (połączenie) do udostępniającego, a udostępniający – kanał zwrotny do każdego uczestnika. Problemem jest tu niebezpieczna deserializacja obiektów otrzymywanych przez klienta Zoom.

Wykorzystując ten mechanizm, badacze doprowadzili do przepełnienia bufora i nadpisania fragmentów pamięci procesu Zooma. To z kolei pozwoliło im przejąć kontrolę nad przepływem wykonywania programu i uruchomić własny kod. W ten sposób uzyskali możliwość zdalnego wykonania kodu (RCE) na urządzeniu ofiary, bez jakiejkolwiek dodatkowej interakcji użytkownika.

Przy okazji badacz Lidor Elias znalazł drugą, niezależną podatność w tym samym silniku odpowiedzialnym za obsługę adnotacji. Parser Zooma obsługuje typ wiadomości o numerze 75, zawierający obiekt “auto-shape” (CAnnoObjAutoMetaShape). W ramach jego obsługi bajty dostarczone przez atakującego są bezpośrednio zapisywane do listy z dowiązaniami (linked list), a następnie lista jest modyfikowana poprzez usunięcie z niej elementu – bez wcześniejszej walidacji przekazanych wskaźników.

W efekcie atakujący uzyskuje tzw. “write-what-where”, czyli możliwość zapisu dowolnych bajtów w dowolnym miejscu w pamięci (arbitrary write). Stwarza to kolejną potencjalną drogę do zdalnego wykonania kodu (RCE).

Pierwsze dwie luki (podzielono je na zapis i odczyt poza buforem) otrzymały numerację CVE-2026-53413 i CVE-2026-53414. Ostatniej pokazanej podatności (write-what-where) przypisano numer CVE-2026-53415.

Zoom potwierdził otrzymanie zgłoszenia w ciągu jednego dnia. Reakcja firmy była szybka i kompleksowa: poprawki po stronie klienta zostały wydane w wersji v7.1.0 po 12 dniach od zgłoszenia. Wdrożono także ograniczenia po stronie serwera, aby chronić użytkowników korzystających ze starszych wersji aplikacji, zanim zdążą je zaktualizować.

Podatność write-what-where była już wcześniej znana firmie, a po stronie serwera wdrożono już zabezpieczenia filtrujące złośliwe wiadomości, zanim dotarły do klientów. Zabezpieczenie to nie działało jednak w przypadku spotkań szyfrowanych end-to-end – serwer nie ma wtedy dostępu do treści komunikacji. Podatność pozostawała więc możliwa do wykorzystania, aż do ostatecznej poprawki wdrożonej po stronie klienta w wersji 7.1.5.

Użytkownikom Zoom polecamy zaktualizować wszystkie używane aplikacje (zarówno desktopowe, jak i mobilne) do najnowszych wersji. Warto na bieżąco dbać o aktualizacje – zasada ta tyczy się zresztą nie tylko Zooma.

Oś czasu:

08.06.26 – Odkrycie podatności memory-corruption w Zoom.

09.06.26 – Potwierdzenie zero-click RCE na kliencie Zoom v7.0.5 (wszystkie platformy).

10.06.26 – Zgłoszenie podatności Zoomowi.

11.06.26 – Zoom potwierdza otrzymanie zgłoszenia.

22.06.26 – Zoom wdraża poprawkę po stronie klienta w wersji v7.1.0, łatającą CVE-2026-53413 i CVE-2026-53414.

15.07.26 – Zoom wdraża ograniczenie po stronie serwera dla wcześniejszych wersji.

20.07.26 – Zoom wdraża poprawkę po stronie klienta w wersji v7.1.5, łatającą CVE-2026-53415.

11.08.26 – Publiczne ujawnienie.

Źródło: a.security

~Tymoteusz Jóźwiak