關(guān)鍵詞

zoom

Zoom 近日發(fā)布多份安全公告，披露并修復(fù)了其 Workplace 系列應(yīng)用中存在的多項(xiàng)安全漏洞。這些漏洞中包含兩項(xiàng)高危漏洞和多項(xiàng)中危問(wèn)題，顯示出視頻會(huì)議與協(xié)作平臺(tái)在混合辦公環(huán)境下的安全防護(hù)挑戰(zhàn)仍在持續(xù)。

據(jù)悉，最為嚴(yán)重的漏洞為ZSB-25043和ZSB-25042。在 Android 版 Zoom Workplace 應(yīng)用中，因授權(quán)處理不當(dāng)（CVE-2025-64741），攻擊者可能繞過(guò)訪問(wèn)控制，執(zhí)行未經(jīng)授權(quán)的操作，如在未獲許可的情況下加入會(huì)議或訪問(wèn)敏感會(huì)話數(shù)據(jù)。該漏洞影響所有未更新至最新補(bǔ)丁的 Android 版本，其根本原因在于權(quán)限檢查機(jī)制存在缺陷，使得遠(yuǎn)程攻擊者可通過(guò)網(wǎng)絡(luò)操控用戶權(quán)限。

另一項(xiàng)高危漏洞存在于 Windows 版 Zoom Workplace VDI 客戶端（CVE-2025-64740），源于加密簽名驗(yàn)證不當(dāng)。該問(wèn)題可能導(dǎo)致客戶端接受被篡改的更新包或遭通信劫持。研究人員指出，類(lèi)似的簽名驗(yàn)證漏洞曾多次引發(fā)供應(yīng)鏈攻擊風(fēng)險(xiǎn)，攻擊者可將惡意代碼注入看似合法的軟件更新中，從而實(shí)現(xiàn)系統(tǒng)入侵。

此外，兩項(xiàng)中危漏洞與路徑操作有關(guān)。漏洞ZSB-25041（CVE-2025-64739）影響多個(gè) Zoom 客戶端，因文件路徑控制不足，攻擊者可通過(guò)構(gòu)造輸入重定向文件操作，導(dǎo)致數(shù)據(jù)泄露或配合其他漏洞實(shí)現(xiàn)任意代碼執(zhí)行。另一項(xiàng)在 macOS 平臺(tái)的ZSB-25040（CVE-2025-64738）存在類(lèi)似風(fēng)險(xiǎn)，攻擊者可利用特制輸入穿越目錄并覆蓋關(guān)鍵文件。這類(lèi)路徑遍歷問(wèn)題雖常見(jiàn)于 Web 應(yīng)用，但在跨平臺(tái)桌面軟件中同樣危害嚴(yán)重，突顯輸入驗(yàn)證的重要性。

更新公告中還包括ZSB-25015的修訂版本，該漏洞最初發(fā)布于 2025 年 4 月 8 日，并于 11 月 10 日更新說(shuō)明。該問(wèn)題涉及 Windows 版 Zoom Workplace 應(yīng)用中的空指針引用錯(cuò)誤（CVE-2025-30670 與 CVE-2025-30671），可能導(dǎo)致程序崩潰或拒絕服務(wù)。雖然該漏洞不具備遠(yuǎn)程代碼執(zhí)行能力，但頻繁的崩潰仍可能影響業(yè)務(wù)連續(xù)性。

Zoom 官方已敦促用戶盡快將 Android、Windows、macOS 及 VDI 客戶端更新至最新版本，以防范潛在攻擊。公司未披露漏洞是否已被實(shí)際利用，但安全研究人員警告，這些漏洞若被組合使用，可能進(jìn)一步導(dǎo)致企業(yè)環(huán)境中的權(quán)限提升攻擊。

隨著遠(yuǎn)程辦公的持續(xù)普及，專家建議企業(yè)應(yīng)加強(qiáng)補(bǔ)丁管理、啟用多因素認(rèn)證，并持續(xù)監(jiān)控應(yīng)用異常行為。自 2025 年 8 月以來(lái)，Zoom 已連續(xù)修復(fù)十余項(xiàng)漏洞，其中包括多起高?！胺强尚潘阉髀窂健眴?wèn)題。預(yù)計(jì)國(guó)家漏洞數(shù)據(jù)庫(kù)（NVD）將在近期公布 CVSS 評(píng)分，初步評(píng)估高危漏洞的分值均超過(guò) 7.5。

Zoom 用戶應(yīng)盡快更新，以防成為新一輪針對(duì)統(tǒng)一通信平臺(tái)攻擊的受害者。

安全圈

網(wǎng)羅圈內(nèi)熱點(diǎn) 專注網(wǎng)絡(luò)安全

實(shí)時(shí)資訊一手掌握！

好看你就分享 有用就點(diǎn)個(gè)贊

支持「安全圈」就點(diǎn)個(gè)三連吧！