Zoom, Zoom işyeri uygulamalarında yeni keşfedilen yedi güvenlik açıkına hitap eden birden fazla güvenlik bültenini yayınladı ve biri yüksek şiddet olarak derecelendirildi.
Tüm güvenlik açıkları 13 Mayıs 2025’te açıklandı ve potansiyel olarak saldırganların çeşitli saldırı vektörleri aracılığıyla ayrıcalıkları artırmasına izin verebilir.
En kritik kusur, başarılı bir şekilde sömürüldüğünde ayrıcalık artışına yol açabilecek bir kullanım süresi (Toctou) güvenlik açığı içerir.
.png
)
Güvenlik Bülteni ZSB-25016’da açıklanan en şiddetli güvenlik açığı (CVE-2025-30663), zoom işyeri uygulamalarını etkileyen yüksek şiddetli kontrol süresi kullanım süresidir.
Bu güvenlik açığı, saldırganların kontrol edildikleri süre ile uygulama tarafından kullanıldıkları zaman kaynaklarını manipüle edebilecekleri bir yarış koşulu yaratır.
Bu zamansal boşluk, kötü niyetli aktörlerin potansiyel olarak keyfi kod yürütmesine veya amaçlanan sınırların ötesinde ayrıcalıkları yükseltmesine izin verir.
Zoom’un işyeri uygulamaları ekosisteminde iki ayrı “özel unsurların nötralizasyonu” tespit edilmiştir.
Birincisi (ZSB-25022), düşük karmaşıklık ve kullanıcı etkileşimi gerektiren ağ saldırabilirliğini gösteren bir CVSS puanı taşır.
Benzer şekilde, CVE-2025-30664 ile ilişkili ikinci örnek (ZSB-25017) potansiyel olarak özel olarak hazırlanmış girdinin verilerden ziyade komut olarak işlenebileceği enjeksiyon saldırılarına yol açabilir.
NULL işaretçi güvenlik açıkları
Güvenlik bültenleri, Zoom’un işyeri uygulamaları platformunda null işaretçisi dereference güvenlik açıkları ile ilgili bir model ortaya koydu.
Üç ayrı bülten (ZSB-25020, ZSB-25019 ve ZSB-25018) özellikle bu sorunu ele alır, ZSB-25018 iki farklı CVE’yi (CVE-2025-30665 ve CVE-2025-30666) benzersiz bir şekilde kapsar.
NULL Pointer Dereference, yazılım, bir NULL işaretçisi tarafından referans verilen bellekten okumaya veya yazmaya çalıştığında, potansiyel olarak uygulama çökmelerine veya öngörülemeyen davranışlara neden olduğunda gerçekleşir.
Zoom’un Windows uygulamalarında, bu güvenlik açıkları özel olarak hazırlanmış girdiler veya beklenmedik uygulama durumları aracılığıyla tetiklenebilir, bu da potansiyel olarak saldırganların hizmet koşullarını reddetmesine veya bazı durumlarda güvenlik kontrollerini atlamasına izin verir.
ZSB-25021’de tanımlanan aşırı okuma güvenlik açığı (CVE-2025-46785) (CVE-2025-46785), uygulamanın tahsis edilen belleğin sınırlarının ötesinde okuduğu, bitişik bellek konumlarından potansiyel olarak hassas bilgileri açığa çıkardığı veya uygulama istikrarına neden olduğu başka bir bellekle ilgili kusuru temsil eder.
Birden fazla güvenlik bülteninin eşzamanlı olarak yayınlanması, Zoom’un güvenlik ekibi tarafından koordineli bir güvenlik değerlendirme çabasını önermektedir.
Rapora göre, Zoom işyeri uygulamalarını kullanan kuruluşlar, özellikle önemli risk oluşturan yüksek şiddetli Toctou güvenlik açığı göz önüne alındığında, en son güvenlik yamalarının hemen uygulanmasına öncelik vermelidir.
Hemen yama yapmanın mümkün olmadığı ortamlar için, güvenlik ekipleri olağandışı uygulama davranışı ve Zoom uygulamalarıyla ilişkili ağ trafik modelleri için ek izleme uygulamalıdır.
Başarılı sömürüden elde edilen potansiyel etkiyi en aza indirmek için ayrıcalık ayrımı ve en az ayrıcalık ilkesi kesinlikle uygulanmalıdır.
NULL Pointer DereFerence güvenlik açıklarının konsantrasyonu, Zoom’un giriş validasyonu ve bellek yönetimi süreçlerindeki potansiyel sistematik sorunları gösterir.
Bireysel olarak orta şiddet olarak derecelendirilirken, bu güvenlik açıklarının kümülatif etkisi, Zoom’un işyeri işbirliği araçlarına bağlı olarak kuruluşlar için saldırı yüzeyini önemli ölçüde arttırır.
Uzak ve hibrit çalışma ortamları, Zoom gibi işbirliği platformlarına büyük ölçüde güvenmeye devam ettikçe, uyanık güvenlik uygulamalarını sürdürmek, saldırganların kurumsal ağlar içinde dayanaklar kurmak için bu tür güvenlik açıklarından yararlanmasını önlemek için giderek daha kritik hale geliyor.
Bu haberi ilginç bul! Anında güncellemeler almak için bizi Google News, LinkedIn ve X’te takip edin!