{"id":19410,"date":"2022-09-15T10:10:14","date_gmt":"2022-09-15T08:10:14","guid":{"rendered":"https:\/\/www.kaspersky.fr\/blog\/?p=19410"},"modified":"2022-09-15T10:11:50","modified_gmt":"2022-09-15T08:11:50","slug":"defcon30-zoom-vulnerability","status":"publish","type":"post","link":"https:\/\/www.kaspersky.fr\/blog\/defcon30-zoom-vulnerability\/19410\/","title":{"rendered":"Zoom corrige une vuln\u00e9rabilit\u00e9, et pourquoi existe-t-il une rivalit\u00e9 entre les cybercriminels et les d\u00e9veloppeurs"},"content":{"rendered":"

En mars 2020, alors que le monde entier d\u00e9couvrait le t\u00e9l\u00e9travail, une vuln\u00e9rabilit\u00e9<\/a> \u00e9tait d\u00e9couverte dans l\u2019installateur de Zoom, un des principaux outils de communication \u00e0 distance utilis\u00e9s dans le monde. Cette faille permettait l\u2019ex\u00e9cution d\u2019un code arbitraire sur les ordinateurs Apple. Zoom a corrig\u00e9 la vuln\u00e9rabilit\u00e9\u2026 Enfin, presque. Nous voil\u00e0 en ao\u00fbt 2022 lorsqu\u2019une faille similaire est d\u00e9tect\u00e9e, en termes d\u2019emplacement et de cons\u00e9quences en cas d\u2019exploitation. Cet article \u00e9tudie ce dernier probl\u00e8me de s\u00e9curit\u00e9, cherche \u00e0 expliquer pourquoi les failles d\u2019un programme apparaissent de nouveau au m\u00eame endroit et donne quelques conseils pour savoir quoi faire dans cette situation.<\/p>\n

Quelle est cette vuln\u00e9rabilit\u00e9 ?<\/h2>\n

Ce nouveau probl\u00e8me du service de visioconf\u00e9rence Zoom a \u00e9t\u00e9 mis en avant<\/a> par le chercheur renomm\u00e9 Patrick Wardle lors de la DEF CON 30 qui a eu lieu d\u00e9but ao\u00fbt 2022. En r\u00e9sum\u00e9, plusieurs bugs ont \u00e9t\u00e9 d\u00e9tect\u00e9s dans le syst\u00e8me de mises \u00e0 jour automatiques de Zoom pour Apple. En th\u00e9orie, ces bugs rendaient possible l\u2019obtention de droits super-utilisateur, ce qui permettait au cybercriminel aspirant de faire tout ce qu\u2019il voulait dans l\u2019ordinateur h\u00f4te. Pourtant, pour exploiter cette vuln\u00e9rabilit\u00e9, le cybercriminel devait avoir d\u00e9j\u00e0 eu un acc\u00e8s physique \u00e0 l\u2019ordinateur, bien que sans droits sp\u00e9ciaux. Ce sc\u00e9nario n\u2019est pas surr\u00e9aliste que cela. Par exemple, l\u2019utilisateur peut prendre sa pause-d\u00e9jeuner et oublier de verrouiller son ordinateur. En th\u00e9orie, la vuln\u00e9rabilit\u00e9 pouvait aussi \u00eatre exploit\u00e9e par un programme malveillant\u00a0; autrement l\u2019attaque ne causerait pas beaucoup de d\u00e9g\u00e2ts.<\/p>\n

Plus d\u2019informations s\u2019il vous pla\u00eet<\/h2>\n

Les mises \u00e0 jour de n\u2019importe quel programme moderne doivent \u00eatre rapidement propos\u00e9es et faciles \u00e0 installer. Dans l\u2019id\u00e9al, les correctifs de bugs doivent \u00eatre install\u00e9es sans que l\u2019utilisateur ne le remarque, mais ce n\u2019est pas toujours possible. Pour compl\u00e9ter la mise \u00e0 jour, il faut g\u00e9n\u00e9ralement relancer le programme, se reconnecter ou red\u00e9marrer l\u2019appareil. Les notifications qui nous rappellent que nous devons mette \u00e0 jour un programme, un syst\u00e8me d\u2019exploitation, un smartphone ou une tablette nous emb\u00eatent. Pourtant, il est crucial de le faire. Les mises \u00e0 jour corrigent des failles de s\u00e9curit\u00e9 que les cybercriminels pourraient utiliser contre vous. Dans certaines situations particuli\u00e8rement s\u00e9rieuses, vous devez imm\u00e9diatement prot\u00e9ger les programmes vuln\u00e9rables contre les attaques informatiques actives\u00a0: un jour de retard peut vous co\u00fbter vos donn\u00e9es.<\/p>\n

La mise \u00e0 jour d\u2019une application macOS n\u2019est gu\u00e8re diff\u00e9rente de sa premi\u00e8re installation\u00a0: vous t\u00e9l\u00e9chargez la nouvelle version, vous ex\u00e9cutez le fichier et vous entrez votre mot de passe utilisateur. Zoom a essay\u00e9 de simplifier cette proc\u00e9dure: le client acc\u00e8de au serveur, t\u00e9l\u00e9charge la nouvelle version et l\u2019installe sans avoir \u00e0 saisir son mot de passe. Malheureusement, ce processus de communication avec le serveur, apr\u00e8s avoir t\u00e9l\u00e9charg\u00e9 et install\u00e9 la mise \u00e0 jour, n\u2019est pas toujours correctement mis en place. Il y a dix ans, l\u2019acc\u00e8s aux serveurs sans que les donn\u00e9es ne soient chiffr\u00e9es \u00e9tait une pratique courante qui permettait aux \u00e9ventuels cybercriminels de remplacer le fichier mis \u00e0 jour par un programme malveillant. Le chiffrement a \u00e9t\u00e9 mis en place et a compliqu\u00e9 cette substitution, m\u00eame s\u2019il est encore possible de remplacer le fichier t\u00e9l\u00e9charg\u00e9 et sauvegard\u00e9 dans le disque mais pas encore install\u00e9.<\/p>\n

Tout semblait \u00eatre en r\u00e8gle avec la derni\u00e8re version de Zoom (celle en fin d\u2019ann\u00e9e derni\u00e8re, lorsque Patrick a d\u00e9but\u00e9 ses recherches). Le client acc\u00e9dait \u00e0 un serveur de mises \u00e0 jour sp\u00e9cial par un canal s\u00e9curis\u00e9, t\u00e9l\u00e9chargeait le fichier, confirmait l\u2019authenticit\u00e9 (en v\u00e9rifiant qu\u2019il soit sign\u00e9 par le certificat du vendeur) et l\u2019installait. Pour l\u2019installation, le SW demandait au syst\u00e8me d\u2019avoir temporairement des droits super-utilisateur, mais de telle fa\u00e7on que l\u2019utilisateur n\u2019avait pas \u00e0 saisir son mot de passe.<\/p>\n

\"Citation

Citation de la pr\u00e9sentation de Patrick Wardle lorsqu\u2019il expliquait les avantages de la signature des mises \u00e0 jour. Source<\/a><\/p><\/div>\n

\u00a0<\/p>\n

La signature num\u00e9rique est importante. Apr\u00e8s tout, le programme est t\u00e9l\u00e9charg\u00e9 sur l\u2019ordinateur de l\u2019utilisateur \u00e0 partir d\u2019Internet et s\u2019ex\u00e9cute avec les privil\u00e8ges les plus importants. Vous devez \u00eatre certain qu\u2019il s\u2019agit du bon programme. Une simple usurpation du fichier t\u00e9l\u00e9charg\u00e9 ne fonctionne pas\u00a0: comme vous pouvez le voir dans la diapositive ci-dessus de la pr\u00e9sentation de Patrick, la substitution du fichier donne lieu \u00e0 un message d\u2019erreur. La fausse mise \u00e0 jour n\u2019a pas de signature num\u00e9rique, et en imiter une est extr\u00eamement difficile.<\/p>\n

Malheureusement, le processus de validation de la signature num\u00e9rique avait ses d\u00e9fauts. Il fonctionnait en lan\u00e7ant un outil syst\u00e8me. Cela affichait les param\u00e8tres de la signature num\u00e9rique de la mise \u00e0 jour t\u00e9l\u00e9charg\u00e9e, dont une ligne qui indiquait quelle entreprise avait re\u00e7u le certificat\u00a0:<\/p>\n

Zoom Video Communications, Inc. Developer ID Certification Authority Apple Root CA<\/em><\/p>\n

Le r\u00e9sultat de l\u2019outil \u00e9tait trait\u00e9 et si cette ligne \u00e9tait pr\u00e9sente, l\u2019installation commen\u00e7ait. Le probl\u00e8me \u00e9tait que le nom du fichier apparaissait aussi dans le r\u00e9sultat. Ainsi, th\u00e9oriquement parlant, un cybercriminel pouvait cr\u00e9er une mise \u00e0 jour malveillante astucieusement nomm\u00e9e \u00ab\u00a0Zoom Video Communications, Inc. Developer ID Certification Authority Apple Root CA.pkg\u00a0\u00bb <\/em>au lieu du nom standard \u00ab\u00a0ZoomUpdate.pkg\u00a0\u00bb<\/em>. Cette action suffirait \u00e0 leurrer la proc\u00e9dure de validation\u00a0: la ligne n\u00e9cessaire est pr\u00e9sente, donc le fichier doit \u00eatre l\u00e9gitime, m\u00eame si le nom du fichier est incorrect et que les mots magiques ne sont pas au bon endroit\u00a0!<\/p>\n

Ainsi, une attaque pourrait ressembler \u00e0 cela\u00a0: la proc\u00e9dure de validation de la mise \u00e0 jour est lanc\u00e9e (c\u2019est simple \u00e0 faire), la mise \u00e0 jour l\u00e9gitime est t\u00e9l\u00e9charg\u00e9e puis remplac\u00e9e par un programme malveillant afin d\u2019\u00eatre finalement renomm\u00e9e pour leurrer le processus d\u00e9faillant de validation du certificat. Le fichier malveillant est ex\u00e9cut\u00e9 avec des privil\u00e8ges syst\u00e8mes et l\u2019ordinateur est pirat\u00e9\u00a0!<\/p>\n

Le 20 d\u00e9cembre 2021, Zoom a publi\u00e9 une mise \u00e0 jour qui corrigeait ce vecteur d\u2019attaque. Le changement \u00e9tait simple\u00a0: le fichier \u00e9tait obligatoirement renomm\u00e9 apr\u00e8s le t\u00e9l\u00e9chargement. Pourtant, Patrick Wardle a pu modifier l\u2019attaque. Si Zoom \u00e9tait une application s\u00fbre depuis la version 5.9.0, que se passait-il si nous installions une version plus ancienne\u00a0? Cette m\u00e9thode a fonctionn\u00e9. L\u2019ancienne mise \u00e0 jour avait un certificat num\u00e9rique l\u00e9gitime, et la version n\u2019avait pas \u00e9t\u00e9 v\u00e9rifi\u00e9e lors de l\u2019installation.<\/p>\n

Quel est le probl\u00e8me ?<\/h2>\n

Les recherches de Patrick Wardle montrent qu\u2019il est important de s\u00e9curiser la publication et l\u2019installation des mises \u00e0 jour. De plus, l\u2019incident avec ce bug montre clairement comment les d\u00e9veloppeurs de programmes essaient souvent de r\u00e9soudre un probl\u00e8me en effectuant de simples modifications et sans vraiment le comprendre en d\u00e9tail. Au d\u00e9but, en d\u00e9cembre 2021, c\u2019est-\u00e0-dire avant m\u00eame que Wardle ne signale le probl\u00e8me \u00e0 Zoom, ils ont corrig\u00e9 la version la plus simple d\u2019une attaque en rempla\u00e7ant un fichier insignifiant et en d\u00e9jouant la validation du certificat. Une fois la vuln\u00e9rabilit\u00e9 signal\u00e9e, en avril 2022, ils ont bloqu\u00e9 l\u2019option qui permettait de r\u00e9trograder, c\u2019est-\u00e0-dire l\u2019option qui permettait d\u2019installer une version plus ancienne et plus vuln\u00e9rable de Zoom gr\u00e2ce au m\u00e9canisme standard de publication des mises \u00e0 jour. Ce n\u2019est qu\u2019en juillet 2022, soit six mois apr\u00e8s le rapport de Wardle, que le m\u00e9canisme de validation du certificat num\u00e9rique a \u00e9t\u00e9 corrig\u00e9.<\/p>\n

Pourtant, cette action n\u2019a pas compl\u00e8tement r\u00e9solu le probl\u00e8me. Il est vrai que les deux m\u00e9thodes d\u2019attaque les plus simples ne faisaient plus partie de l\u2019arsenal du cybercriminel en devenir\u00a0: remplacer le fichier de la mise \u00e0 jour par un programme malveillant et t\u00e9l\u00e9charger la version ant\u00e9rieure vuln\u00e9rable. Il y avait tout de m\u00eame un autre probl\u00e8me\u00a0: le fichier de la mise \u00e0 jour ex\u00e9cutait avec des privil\u00e8ges de super-utilisateur pouvait \u00eatre modifi\u00e9 par n\u2019importe quelle personne ayant acc\u00e8s \u00e0 l\u2019ordinateur\u00a0! Le cybercriminel devait trouver une fa\u00e7on d\u2019introduire au bon moment un fichier malveillant dans l\u2019installateur de Zoom\u00a0: apr\u00e8s la validation de la signature \u00e9lectronique mais avant le d\u00e9but de l\u2019installation. \u00c7a a march\u00e9. Ainsi, lorsque Patrick Wardle a partag\u00e9 ses d\u00e9couvertes lors de la DEF CON 30 en ao\u00fbt 2022, soit huit mois plus tard apr\u00e8s avoir signal\u00e9 le probl\u00e8me \u00e0 Zoom, la vuln\u00e9rabilit\u00e9 n\u2019\u00e9tait pas compl\u00e8tement corrig\u00e9e. Ce n\u2019est que le 17 ao\u00fbt, soit cinq jours apr\u00e8s le rapport de Patrick, que les d\u00e9veloppeurs ont enfin corrig\u00e9 le probl\u00e8me. Pourtant, cette d\u00e9claration doit \u00eatre v\u00e9rifi\u00e9e de mani\u00e8re ind\u00e9pendante.<\/p>\n

Les cybercriminels et les d\u00e9veloppeurs<\/h2>\n

Apr\u00e8s avoir lu le rapport de Patrick Wardle, on ne peut s\u2019emp\u00eacher de se demander pourquoi les choses doivent se passer de cette fa\u00e7on. Comment est-il possible d\u2019avoir des vuln\u00e9rabilit\u00e9s aussi pu\u00e9riles dans les parties critiques d\u2019un logiciel\u00a0? Pourquoi les d\u00e9veloppeurs ne les corrigent-ils que huit mois apr\u00e8s leur signalement et apr\u00e8s trois tentatives\u00a0? Nous ne cherchons pas \u00e0 accuser les d\u00e9veloppeurs \u00e0 tort d\u2019incomp\u00e9tence. Des bugs et des erreurs apparaissent de temps \u00e0 autre dans tous les programmes. Tous les programmeurs commettent parfois des erreurs, mais r\u00e2ler contre eux ne va pas r\u00e9soudre le probl\u00e8me\u00a0: ils sont les seuls d\u00e9veloppeurs disponibles.<\/p>\n

Peut-\u00eatre que cette diff\u00e9rence est due au fait que les hackers \u00e9thiques (white hat<\/em>), qui partagent leurs rapports avec les fournisseurs, et les cybercriminels, qui exploitent les failles pour attaquer les utilisateurs et en tirer profit, ont d\u2019autres priorit\u00e9s que les d\u00e9veloppeurs de programmes. Lorsque vous d\u00e9veloppez un programme, ce dernier doit pouvoir effectuer correctement des centaines de t\u00e2ches diff\u00e9rentes. Leur priorit\u00e9 est d\u2019offrir une zone de confort aux utilisateurs ce qui signifie, notamment pour Zoom, de garantir une communication de qualit\u00e9 et un programme compatible avec les diff\u00e9rents syst\u00e8mes d\u2019exploitation et les milliers d\u2019appareils, anciens et r\u00e9cents. En revanche, le cybercriminel n\u2019a qu\u2019\u00e0 trouver un bug qui peut \u00eatre exploit\u00e9 \u00e0 des fins malveillantes. Maintenant, imaginez que quelqu\u2019un vous informe d\u2019une vuln\u00e9rabilit\u00e9. Oui, vous devez la corriger, mais sans nuire au syst\u00e8me d\u00e9licat du logiciel client \/ serveur. Vous devez tester le programme dans des centaines de configurations diff\u00e9rentes. \u00c9videmment, en tant que d\u00e9veloppeur vous voulez r\u00e9soudre le probl\u00e8me en modifiant le moins de choses possibles. Pourtant, ce n\u2019est pas suffisant dans la plupart des cas.<\/p>\n

Les programmes deviennent progressivement plus s\u00fbrs, gr\u00e2ce \u00e0 chaque petite correction. Vous ne pouvez pas r\u00e9soudre tous les probl\u00e8mes et cr\u00e9er une application parfaite en un clin d\u2019\u0153il. Enfin, vous pouvez le faire, mais seulement si vous partez de z\u00e9ro. Certains \u00e9l\u00e9ments critiques doivent \u00eatre maintenus de la meilleure fa\u00e7on possible, et le syst\u00e8me de publication des mises \u00e0 jour est sans aucun doute l\u2019un d\u2019eux. Les utilisateurs doivent pouvoir faire confiance aux programmes qu\u2019ils installent sur leurs ordinateurs. En ce sens, l\u2019exemple des vuln\u00e9rabilit\u00e9s de Zoom est positif puisqu\u2019un chercheur ind\u00e9pendant et un d\u00e9veloppeur ont travaill\u00e9 ensemble pour r\u00e9soudre le probl\u00e8me. Cela r\u00e9v\u00e8le une attitude responsable de la part du d\u00e9veloppeur.<\/p>\n

Pour conclure, je tiens \u00e0 vous rappeler un point important\u00a0: un programme malveillant arrive g\u00e9n\u00e9ralement \u00e0 acc\u00e9der \u00e0 l\u2019ordinateur lorsque vous installez le logiciel pour la premi\u00e8re fois. Ainsi, vous devez v\u00e9rifier que vous ne t\u00e9l\u00e9chargez vos programmes qu\u2019\u00e0 partir de sources officielles, ou que vous utilisez les boutiques officielles, et que vous ne t\u00e9l\u00e9chargez en aucun cas les programmes de sites suspects. Dans le cas contraire, vos donn\u00e9es pourraient \u00eatre vol\u00e9es en utilisant des m\u00e9thodes de piratage assez simples, sans que les cybercriminels n\u2019aient \u00e0 exploiter les vuln\u00e9rabilit\u00e9s sophistiqu\u00e9es de programmes officiels.<\/p>\n\n","protected":false},"excerpt":{"rendered":"

Ce qu\u2019il faut retenir de la DEF CON 30 : Zoom corrige une vuln\u00e9rabilit\u00e9 pour la version macOS.<\/p>\n","protected":false},"author":665,"featured_media":19413,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[2112,3150,3151],"tags":[29,1183,599,3881,322],"class_list":{"0":"post-19410","1":"post","2":"type-post","3":"status-publish","4":"format-standard","5":"has-post-thumbnail","7":"category-business","8":"category-enterprise","9":"category-smb","10":"tag-apple","11":"tag-def-con","12":"tag-macos","13":"tag-visioconference","14":"tag-vulnerabilites"},"hreflang":[{"hreflang":"fr","url":"https:\/\/www.kaspersky.fr\/blog\/defcon30-zoom-vulnerability\/19410\/"},{"hreflang":"en-in","url":"https:\/\/www.kaspersky.co.in\/blog\/defcon30-zoom-vulnerability\/24561\/"},{"hreflang":"en-ae","url":"https:\/\/me-en.kaspersky.com\/blog\/defcon30-zoom-vulnerability\/20027\/"},{"hreflang":"en-us","url":"https:\/\/usa.kaspersky.com\/blog\/defcon30-zoom-vulnerability\/27010\/"},{"hreflang":"en-gb","url":"https:\/\/www.kaspersky.co.uk\/blog\/defcon30-zoom-vulnerability\/24918\/"},{"hreflang":"es-mx","url":"https:\/\/latam.kaspersky.com\/blog\/defcon30-zoom-vulnerability\/25259\/"},{"hreflang":"es","url":"https:\/\/www.kaspersky.es\/blog\/defcon30-zoom-vulnerability\/27616\/"},{"hreflang":"ru","url":"https:\/\/www.kaspersky.ru\/blog\/defcon30-zoom-vulnerability\/33925\/"},{"hreflang":"tr","url":"https:\/\/www.kaspersky.com.tr\/blog\/defcon30-zoom-vulnerability\/11012\/"},{"hreflang":"x-default","url":"https:\/\/www.kaspersky.com\/blog\/defcon30-zoom-vulnerability\/45420\/"},{"hreflang":"pt-br","url":"https:\/\/www.kaspersky.com.br\/blog\/defcon30-zoom-vulnerability\/20011\/"},{"hreflang":"de","url":"https:\/\/www.kaspersky.de\/blog\/defcon30-zoom-vulnerability\/29272\/"},{"hreflang":"ru-kz","url":"https:\/\/blog.kaspersky.kz\/defcon30-zoom-vulnerability\/25412\/"},{"hreflang":"en-au","url":"https:\/\/www.kaspersky.com.au\/blog\/defcon30-zoom-vulnerability\/30967\/"},{"hreflang":"en-za","url":"https:\/\/www.kaspersky.co.za\/blog\/defcon30-zoom-vulnerability\/30663\/"}],"acf":[],"banners":"","maintag":{"url":"https:\/\/www.kaspersky.fr\/blog\/tag\/vulnerabilites\/","name":"Vuln\u00e9rabilit\u00e9s"},"_links":{"self":[{"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/posts\/19410","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/users\/665"}],"replies":[{"embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/comments?post=19410"}],"version-history":[{"count":4,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/posts\/19410\/revisions"}],"predecessor-version":[{"id":19420,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/posts\/19410\/revisions\/19420"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/media\/19413"}],"wp:attachment":[{"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/media?parent=19410"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/categories?post=19410"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/tags?post=19410"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}