Zoom macOS客户端0-day漏洞技术分析与防护指南

漏洞概述

2020年4月，安全研究人员Patrick Wardle和Jamf在Zoom网络会议软件的macOS客户端版本中发现了两个严重的0-day漏洞：

1. 权限提升漏洞：允许无权限的本地攻击者获取root权限
2. 隐私侵犯漏洞：允许攻击者访问受害者的麦克风和摄像头

这两个漏洞在远程办公激增的疫情期间被发现，引发了广泛关注。Zoom已发布补丁修复这些漏洞。

漏洞技术细节

漏洞1：权限提升漏洞(CVE-2020-????)

影响范围：Zoom macOS客户端特定版本

漏洞根源：

• Zoom安装程序使用了已被苹果淘汰的AuthorizationExecuteWithPrivileges API
• 该API未验证以root权限执行的二进制文件
• 预安装脚本的无交互安装方式加剧了风险

攻击原理：

1. 攻击者需在系统上获得初步立足点(本地访问或通过恶意软件)
2. 在Zoom安装过程中修改特定二进制文件
3. 植入恶意runwithroot脚本
4. 由于缺乏验证，恶意脚本以root权限执行

攻击条件：

• 需要本地访问权限(物理接触或已有恶意软件感染)
• 需在Zoom安装或更新过程中实施攻击

漏洞2：隐私侵犯漏洞(CVE-2020-????)

影响范围：Zoom macOS客户端特定版本

漏洞根源：

• Zoom获得了"例外"权限，绕过macOS的常规权限提示
• 允许第三方库注入到Zoom进程空间
• 注入的代码自动继承Zoom的所有访问权限

攻击原理：

1. 攻击者将恶意库注入Zoom的可信进程
2. 恶意代码自动获得麦克风和摄像头访问权限
3. 可实现：
   • 秘密记录Zoom会议
   • 后台启动Zoom
   • 无提示访问音视频设备

攻击条件：

• 需要能够在目标系统上执行代码(通过漏洞1或其他方式)
• 不需要用户交互或权限提示

漏洞危害评估

权限提升漏洞的危害

• 完全控制系统(root权限)
• 可安装持久性后门
• 可横向移动至网络其他系统
• 可清除日志掩盖攻击痕迹

隐私侵犯漏洞的危害

• 窃取敏感会议内容(商业机密、个人隐私)
• 持续监控受害者环境
• 结合漏洞1可实现完全隐蔽的攻击
• 违反GDPR等数据保护法规

防护措施

即时缓解方案

1. 立即更新Zoom客户端至最新版本
2. 检查系统是否存在可疑进程：

   ps aux | grep zoom
   

3. 检查授权数据库：

   sqlite3 ~/Library/Application\ Support/com.apple.TCC/TCC.db "SELECT * FROM access"
   

4. 监控网络连接：

   lsof -i
   

长期防护策略

1. 系统配置：

   • 启用macOS完整磁盘加密(FileVault)
   • 配置SIP(System Integrity Protection)
   • 定期审核权限设置

2. Zoom特定设置：

   • 禁用自动更新，改为手动控制
   • 会议中使用虚拟背景减少隐私泄露
   • 不使用时完全退出Zoom而非最小化

3. 企业防护：

   • 部署EDR解决方案监控异常行为
   • 实施网络分段，限制Zoom流量
   • 培训员工识别可疑活动

技术验证方法

漏洞1验证步骤

1. 分析安装包脚本：

   pkgutil --expand ZoomInstaller.pkg ZoomExpanded
   

2. 检查使用AuthorizationExecuteWithPrivileges的代码
3. 验证二进制签名：

   codesign -dv --verbose=4 /Applications/zoom.us.app
   

漏洞2验证步骤

1. 检查动态库加载：

   dtrace -n 'pid$target::NSLoadModule:entry { printf("%s", copyinstr(arg0)); }' -p <Zoom_PID>
   

2. 监控摄像头/麦克风访问：

   log stream --predicate 'subsystem == "com.apple.TCC"'
   

总结

这两个Zoom漏洞的组合形成了完整的攻击链：从初始访问到权限提升再到隐私侵犯。虽然需要一定的前置条件，但在BYOD和远程办公普及的背景下风险仍然显著。组织应优先修补这些漏洞，并重新评估视频会议软件的安全配置。