Une importante vulnérabilité vient d’être corrigée dans Zoom. Découverte par la société de cybersécurité A Security, elle permettait à un attaquant d’exécuter du code à distance sur l’appareil d’un participant à une visioconférence, notamment sur iPhone et Mac. Plus inquiétant encore, aucune action de la victime n’était nécessaire et la faille a été découverte en quelques requêtes seulement à l’aide de modèles d’intelligence artificielle.
UN SIMPLE PARTAGE D’ÉCRAN SUFFISAIT
La vulnérabilité touchait l’une des fonctions les plus courantes de Zoom : le partage d’écran. Selon les chercheurs interrogés par Wired, n’importe quelle personne participant à une réunion au cours de laquelle un écran était partagé pouvait potentiellement être visée, qu’il s’agisse de l’organisateur ou d’un simple participant.
L’attaque pouvait surtout être menée silencieusement et sans aucune interaction de la victime. Pas besoin de cliquer sur un lien douteux, de télécharger un fichier ou d’accepter une demande particulière. Une exploitation réussie permettait d’exécuter du code à distance sur l’appareil ciblé, ouvrant potentiellement la voie à une prise de contrôle beaucoup plus importante de la machine.
IPHONE, MAC, WINDOWS ET ANDROID : TOUS CONCERNÉS
La vulnérabilité ne se limitait pas à une version particulière de Zoom. D’après A Security, tous les systèmes d’exploitation pris en charge par la plateforme étaient concernés, à savoir macOS, iOS, Windows, Linux et Android. La société de cybersécurité a signalé la faille à Zoom et celle-ci a désormais été corrigée via la dernière mise jour ! L’affaire est néanmoins intéressante pour une autre raison : la manière dont la vulnérabilité a été découverte.
Les chercheurs expliquent avoir trouvé la faille début juin en utilisant des modèles d’intelligence artificielle accessibles publiquement. Selon A Security, moins de 20 requêtes auraient suffi pour identifier les vulnérabilités puis parvenir à mettre au point une attaque fonctionnelle.
Omer Gull, cofondateur de la société, estime qu’un travail de ce type aurait auparavant pu nécessiter plusieurs mois et une équipe de plusieurs chercheurs, avec de nombreuses phases d’analyse et d’itération. Cette découverte illustre assez bien le double visage de l’IA dans le domaine de la cybersécurité. Les mêmes outils capables d’aider les chercheurs à analyser rapidement d’importantes quantités de code peuvent potentiellement être utilisés par des personnes beaucoup moins bien intentionnées.
Qu’en penser ?
La bonne nouvelle est évidemment que Zoom a désormais corrigé la vulnérabilité. L’affaire constitue néanmoins une nouvelle raison de maintenir l’application à jour sur tous ses appareils. Mais le point le plus intéressant (inquiétant) se trouve probablement ailleurs : si moins de 20 requêtes adressées à des modèles publics permettent désormais d’accélérer aussi fortement la découverte d’une faille complexe, l’IA pourrait profondément modifier le rapport de force entre la découverte des vulnérabilités et leur correction.
Besoin d'aide pour choisir votre logiciel de sécurité ?
Personne n'est à l'abri des virus et du phishing. Protégez vos fichiers et vos données personnelles, utilisez un logiciel de sécurité! Consultez nos dossiers sur le sujet des antivirus pour le Mac. Ces articles sont constamment mis à jour et relayent les dernières promotions.
