Cualquier persona que comparte su pantalla en una reunión de Zoom podría haber permitido que otros asistentes tomaran el control de sus computadoras, y viceversa. La falla se encontraba en la herramienta de anotación, que permite dibujar y escribir sobre la pantalla compartida. El ataque no requería ninguna acción de la víctima más allá de estar en la reunión: sin clics, sin descargas, sin avisos, y sin que nada en pantalla revelara lo que estaba sucediendo.
Los parches no son nuevos: las correcciones para los clientes se enviaron en junio y julio, aproximadamente dos meses antes de que las fallas se hicieran públicas. No se ha reportado explotación activa hasta la fecha de publicación. Ninguna de las vulnerabilidades aparece en el catálogo de vulnerabilidades explotadas conocidas de CISA. Las versiones que corrigen los fallos incluyen: Zoom Workplace, todas las plataformas compatibles, anteriores a 7.1.5 y 7.0.6 en sus respectivas ramas; Zoom Workplace VDI Client para Windows, anteriores a 7.0.11 y 6.6.16; y Zoom Rooms y Zoom Meeting SDK, todas las plataformas, anteriores a 7.1.0, y anteriores a 7.1.5 para la tercera falla.
La investigación fue realizada por 'A Security', una startup israelí de seguridad ofensiva que salió del anonimato en junio con $37 millones en financiamiento. La empresa afirma que pasó de encontrar la falla a un exploit funcional en menos de un día, usando menos de 20 indicaciones en modelos de IA públicamente disponibles. Sin embargo, nadie fuera de la compañía puede verificar esta afirmación: el informe no menciona el modelo específico. Zoom otorga a las vulnerabilidades puntuaciones más bajas que la firma, y acredita una de las tres a su propio equipo interno.
Detalles técnicos y análisis
Zoom no ha publicado detalles técnicos, por lo que la información interna proviene de la ingeniería inversa de la firma. Un dibujo no viaja por la red como una imagen; el cliente lo convierte en un objeto estructurado y lo envía como una secuencia de conteos seguidos de datos. El receptor confía en esos conteos para determinar cuántos datos leer. Uno de los fallos llena un búfer fijo de 128 bytes sin verificar que los datos quepan, y como es el último campo del objeto, un conteo sobredimensionado sobrepasa el final y corrompe la dirección de retorno.
Lo que hace que un dibujo malformado llegue a toda la sala es la falta de verificación sobre el origen del mensaje. Cada visor mantiene un canal con quien comparte, y el que comparte tiene un canal de retorno destinado a confirmaciones. En las rutas trazadas por los investigadores, el despachador lee el número de tipo de mensaje del cable y lo pasa al analizador correspondiente sin verificar qué asiento ocupaba el remitente. Un mensaje de tipo 0x10001 indica 'aquí hay un objeto', y 0x10002 indica 'recibí el tuyo'. Enviar el primero donde corresponde el segundo hace que el cliente de la víctima reconstruya el objeto por completo.
Identificadores de vulnerabilidad y puntuaciones
Zoom rastrea las fallas como CVE-2026-53413 (puntuación CVSS: 8.3), una sobrescritura de búfer; CVE-2026-53414 (puntuación CVSS: 6.5), una lectura fuera de límites; ambas cubiertas por ZSB-26015 y ZSB-26016; y CVE-2026-53415 (puntuación CVSS: 8.3), un uso después de liberar memoria, en ZSB-26017. La firma clasifica las tres con una puntuación de 9.0 bajo CVSS 4.0, pero esa puntuación no aparece en ninguno de los boletines. Zoom emite sus propios registros CVE, y NIST ya no los re-puntúa rutinariamente, por lo que las cifras más bajas probablemente se mantendrán. Además, los vectores del proveedor marcan la interacción del usuario como requerida, lo que contradice la afirmación de cero clics.
Las dos cuentas divergen más en la lectura fuera de límites. La firma dice que recuperó memoria de montón no inicializada del cliente de una víctima, que contenía código vivo y punteros a tablas de métodos virtuales, el material necesario para evadir la aleatorización de direcciones. El aviso de Zoom dice que el mismo error podría permitir a un participante 'llevar a cabo una denegación de servicio' y califica el impacto a la confidencialidad como nulo. El crédito también se divide: dos boletines nombran a Idan Levcovich de A Security, mientras que el que cubre el uso después de liberar memoria acredita a Zoom Offensive Security, el equipo interno detrás de la vulnerabilidad de toma de cuenta con puntuación 9.8 que la compañía parcheó en julio.
La publicación de la startup enumera las tres como propias, aunque reconoce que Zoom ya conocía la tercera y la había filtrado en el lado del servidor antes de que llegara el informe. Su relato del trabajo con IA también es más complicado de lo que su resumen sugiere. La primera pasada, una clasificación automatizada de funciones alcanzables desde la capa Java, produjo una cola de 3,762 funciones en 70 bibliotecas, y omitió por completo la biblioteca vulnerable, ubicándola en el puesto 45. Solo apareció cuando rastrearon el cliente en ejecución a través de una llamada en vivo, característica por característica. Levcovich escribe que la barrera para construir esta clase de exploit 'se ha derrumbado, y no volverá'.
La divulgación sigue a la división del programa Daybreak de OpenAI un día antes, y al lanzamiento de GPT-5.6-Cyber solo para socios seleccionados, con el argumento de que esta capacidad necesita control. La startup dice que obtuvo su resultado con modelos que cualquiera puede usar. Según la propia medición de OpenAI, su modelo público con protecciones responde al 1.5% de los prompts avanzados de seguridad ofensiva, en comparación con el 95% del modelo restringido.
Deja una respuesta