In Zeiten von Home Office ist die Videokonferenz-Lösung Zoom so populär wie nie. Doch nun hat ein Sicherheitsforscher auf einer Konferenz gezeigt, dass Zoom auf Apple Mac ein erhebliches Sicherheitsproblem hat. Dringendes Update empfohlen!
Die dringende Handlungsanweisung gleich zu Anfang: Nutzer der Videokonferenzsoftware Zoom unter MacOS (Apple-Hardware) sollten so schnell wie möglich das aktuelle Update der Software installieren. Denn eine auf der Hackerkonferenz Defcon in Las Vegas jüngst vorgestellte Sicherheitslücke lässt sich dafür nutzen, Schad-Software zu installieren – und Sicherheitsmaßnahmen des Betriebsystems zu umgehen.
Ein GAU in punkto IT-Sicherheit
Es ist quasi der GAU für alle, die sich für sichere Arbeitsumgebungen in der IT-Welt einsetzen. Eine Software, die extrem weit verbreitet ist und von vielen nahezu täglich genutzt wird, hat ein Sicherheitsleck, das so groß ist, dass Angreifer so ziemlich alles machen können.
Genau das ist der Fall bei Zoom. Allerdings nur unter MacOS, dem Betriebssystem von Apple. Der Fehler liegt aber nicht im Betriebssystem, sondern in der Art und Weise, wie Zoom Updates einspielt. Um das Laden und Installieren von Updates so einfach und bequem wie möglich zu machen, aktiviert Zoom bei automatischen Updates den Systemverwalter-Modus. Das macht es einfacher, weil Nutzer keine Passwörter eingeben müssen.
Software unbedingt aktuell halten
Ein Leckerbissen für Hacker
Aber es ist eben ein Risiko, denn so wird das, was da geladen wird, nicht weiter überprüft – und die Installation erfolgt unbemerkt. Ein klassisches Einfallstor, das sich Hacker und Kriminelle zunutze machen können – was angesichts der starken Verbreitung von Zoom sehr attraktiv erscheint.
Wie das Online-Magazin „The Verge“ aktuell berichtet, hat der ehemalige NSA-Hacker Patrick Wardle, der als einer der bekanntesten Experten für Mac-Malware gilt, das Problem entdeckt und nun öffentlich gemacht.
Update einspielen
Angreifer können Opfern über das Auto-Update von Zoom (freilich nicht ohne weitere Manipulation) beliebige Programme unterjubeln. Der Experte hat auf der Konferenz gezeigt, dass eigentlich eingezogene Sicherheitsnetze nicht funktionieren. Für Nutzer wäre eine solche Attacke nicht zu bemerken – und auch nicht zu verhindern.
Das Traurige daran: Experte Wardle hatte den Hersteller vom Zoo,m nach eigenen Angaben bereits vor Monaten über eine ganze Reihe solcher Schwachstellen informiert. Doch das Sicherheitsleck im Auto-Updater wurde nicht geschlossen.
Jetzt hat der Hersteller reagiert. Es wurde ein Update veröffentlicht. Damit sollte das Problem ein Ende haben.
