Cisco WebEx та Zoom уразливі до атаки Prying-Eye
Cisco WebEx та Zoom уразливі до атаки Prying-Eye
Зловмисники можуть легко отримати доступ до сеансів зв'язку в Cisco WebEx або Zoom через вразливість API. Фахівці команди CQ Prime компанії Cequence Security виявили, що API ПЗ для конференц-зв'язку WebEx, Zoom і, можливо, інших сервісів, вразливий до атаки Prying-Eye («Цікаве око»).
Prying-Eye є атакою перерахування або user enumeration. За словами дослідників, WebEx і Zoom дозволяють за допомогою робота автоматично перебирати всі потенційно дійсні ідентифікатори сеансів через виклики API. Щойно дійсний ідентифікатор буде виявлено, зловмисник може отримати доступ до сеансу та підслуховувати розмови (у випадку, якщо користувач не встановив пароль).
Уразливість становить ще більшу небезпеку, якщо для спрощення процесу управління сеансами Користувач встановив персональний ідентифікатор. Підібравши цей ідентифікатор, зловмисник зможе підслуховувати розмови протягом тривалого часу.
Дослідники повідомили Cisco та Zoom про вразливість у липні нинішнього року. Обидві компанії опублікували відповідні попередження для своїх користувачів, проте не визнали проблеми реальною загрозою. Cisco уточнила, що сеанси в WebEx за замовчуванням захищені паролем, однак користувачі можуть відключити його для більшої зручності. Дізнавшись про вразливість, розробники Zoom внесли до своєї платформи деякі зміни, зокрема зробили пароль за замовчуванням.
