Sécurité IT : attention aux logiciels en marque blanche
Des applications de visioconférence pour Mac ont « hérité » d’une faille présente dans le logiciel sur lequel elles sont fondées.
Votre logiciel en marque blanche, livré avec les mêmes failles de sécurité que l’original ?
On aura pu constater l’existence de ce phénomène à travers plusieurs applications de visioconférence pour Mac.
La première alerte avait été donnée le 8 juillet 2019. Il y était question d’une vulnérabilité – corrigée depuis lors* – dans le logiciel Zoom.
Cette vulnérabilité peut entraîner l’ouverture automatique de l’application, webcam activée, à l’insu de l’utilisateur.
Elle tire parti de la fonction Auto-Join, censée permettre d’ouvrir une session en cliquant simplement sur un lien.
Le chercheur en sécurité Jonathan Leischuh s’est aperçu qu’il était possible de faire appel à Auto-Join par le biais d’un iframe intégré à toute page web.
Il est revenu en détail sur la chronologie de l’affaire, depuis sa première tentative de prise de contact avec l’éditeur, le 8 mars dernier via Twitter. Et a suggéré, à cette occasion, que d’autres logiciels exploitant la technologie Zoom étaient certainement touchés.
Son hypothèse se confirme, avec au moins deux noms sur la liste. D’un côté, RingCentral, qui revendique « plus de 350 000 » entreprises clientes. De l’autre, Zhumu, version chinoise de Zoom.
RingCentral (and Zhumu, and likely all of Zoom’s white labels) are vulnerable to another, slightly different, RCE. They are not automatically removed by Apple.
CVE-2019-13576 & CVE-2019-13586
Follow these instructions to protect yourself: https://t.co/FVkyBM1efB pic.twitter.com/c66hvGb1wm
— Karan Lyons (@karanlyons) July 15, 2019
L’UX vaut bien une faille
Zhumu n’a pas encore diffusé de mise à jour (la dernière remonte au 17 juin).
RingCentral affirme pour sa part avoir colmaté la brèche dans la dernière version (7.0.151508.0712) de son app.
L’update supprime le principal point de friction, à savoir un serveur web local qui tourne en arrière-plan, sur le port 19421, pour détecter les appels à Auto-Join.
Zoom dit l’avoir mis en place au nom de l’expérience utilisateur. En l’occurrence, pour contourner l’affichage systématique, par le navigateur Safari (à partir de la version 12), d’une alerte demandant confirmation à l’utilisateur pour lancer une session de visio lorsqu’il clique sur un lien.
Ce serveur web local a d’autres capacités, selon Jonathan Leischuh, dont celle de réinstaller l’application si elle a été supprimée. Associé à d’autres failles, il est potentiellement exploitable pour injecter à distance du code malveillant.
* Zoom diffuse un correctif depuis le 9 juillet. Le lendemain, Apple avait commencé à déployer une mise à jour de macOS qui supprime le serveur web local. Cette suppression peut aussi se faire manuellement pour les trois logiciels sus-évoqués.
Photo d’illustration © RingCentral