Ciberseguridad

Zoom es, discutiblemente, la plataforma de videoconferencia más popular de la actualidad, aunque el incremento de su popularidad también ha generado problemas de seguridad, mencionan expertos en seguridad web. Los desarrolladores de la plataforma acaban de corregir una falla que permitiría a los actores de amenazas descifrar el código empleado para acceder a una sesión grupal, lo que expone a los usuarios a actividades de espionaje.   

Las sesiones de Zoom están protegidas por una contraseña de seis dígitos, no obstante, Tom Anthony, investigador de la firma SearchPilot, una debilidad en este mecanismo permite a los actores de amenazas realizar ataques de diccionario con todas las posibles combinaciones de números y descifrar una contraseña en cuestión de unos cuantos minutos. 

El investigador notificó el problema a Zoom el pasado mes de abril, adjuntando a su reporte una prueba de concepto basada en Python, la falla fue corregida pocos días después. Cabe señalar que una contraseña de seis dígitos permite un total de un millón de posibles combinaciones, lo que representa un obstáculo mínimo para los hackers con suficientes conocimientos y recursos, mencionan los expertos en seguridad web.

FUENTE: Tom Anthony

Los equipos de seguridad de Zoom olvidaron establecer un máximo de intentos para ingresar la contraseña, por lo que los actores de amenazas podrían aprovechar el cliente web de Zoom (https://zoom.us/j/MEETING_ID)para enviar solicitudes HTTP constantes y descifrar la contraseña.

En su prueba de concepto, el investigador demostró ser capaz de acceder a reuniones en curso una vez que la contraseña fue descifrada. Además, Anthony detectó que un procedimiento idéntico podría realizarse para acceder a sesiones de Zoom programadas para horas posteriores, aunque esto requiere de una lista de 10 millones de posibles combinaciones.

Además, expertos en seguridad web reportaron un error durante el inicio de sesión detectado al emplear el cliente web, que emplea una redirección temporal para solicitar consentimiento de los clientes sobre sus términos de servicio. La falla en el token podría facilitar la explotación de otros mecanismos maliciosos de inicio de sesión.

Por seguridad, Zoom inhabilitó su cliente web hasta el lanzamiento de las actualizaciones. Los desarrolladores de la plataforma han trabajado a marchas forzadas recientemente para corregir todos los reportes que reciben; si bien algunos de los problemas reportados a la compañía no representan un riesgo para los usuarios, algunas fallas sí podrían comprometer la información confidencial que circula en la plataforma.

Imagen artículo:

https://thehackernews.com/2020/07/zoom-meeting-password-hacking.html