Apple heeft in stilte een update beschikbaar gemaakt voor Mac, om de kwetsbare webserver van videoconferencingsoftware Zoom van systemen te verwijderen.
Apple laat aan TechCrunch weten dat de update geen handeling van de gebruiker vereist en automatisch wordt toegepast. De patch verwijdert de verborgen webserver, die Zoom zonder medeweten van gebruikers op hun systemen installeerde. De manier waarop die server werd geïmplementeerd, zorgde ervoor dat willekeurige websites ongewensst de webcam van een gebruiker konden activeren.
Zoom verdedigde de functionaliteit aanvankelijk als een “legitieme oplossing” en “workaround” voor een nieuwe securityfunctie in de Safari-browser van Apple, waardoor gebruikers bij elke meeting opnieuw moesten bevestigen dat ze Zoom wilden opstarten. De lokale webserver moest de gebruiker enkele kliks helpen besparen, om zo de dienst sneller en gebruiksvriendelijker te maken.
Slechte implementatie
De installatie van zo’n lokale webserver an sich is op zich niet zo uitzonderlijk. Verschillende andere webdiensten, waaronder Zoom-concurrent BlueJeans, doen hetzelfde. In dit specifieke geval bracht de implementatie evenwel het gevaar met zich mee dat een willekeurige website of advertentie-iframe de functionaliteit kon misbruiken om de webcam ongewenst te activeren.
Nadat de kwetsbaarheid publiek werd gemaakt door security-onderzoeker Jonathan Leitschuch, kon Zoom op heel wat kritiek rekenen vanwege de lakse houding. Uiteindelijk besloot het daarom een noodpatch uit te rollen die de webserver verwijdert.
Apple-update
Nu rolt ook Apple een update uit om “oude en huidige gebruikers te beschermen tegen de kwetsbaarheid van de ongedocumenteerde webserver, zonder de functionaliteit van de Zoom-app zelf te beïnvloeden of te belemmeren”, schrijft TechCrunch. Na de update krijgen gebruikers na het klikken op een meeting-link telkens de vraag te zien of ze Zoom willen openen.
Apple rolt regelmatig stille updates uit om Macs te beschermen tegen gekende malware, maar het is uitzonderlijk dat actie wordt ondernomen tegen een bekende en populaire applicatie. Zoom telt wereldwijd meer dan 4 miljoen gebruikers, verspreid over 750.000 organisaties.