【安全圈】Zoom 多項漏洞可被利用繞過訪問控制導(dǎo)致數(shù)據(jù)泄露

關(guān)鍵詞

zoom

Zoom 近日發(fā)布多份安全公告，披露并修復(fù)了其 Workplace 系列應(yīng)用中存在的多項安全漏洞。這些漏洞中包含兩項高危漏洞和多項中危問題，顯示出視頻會議與協(xié)作平臺在混合辦公環(huán)境下的安全防護(hù)挑戰(zhàn)仍在持續(xù)。

據(jù)悉，最為嚴(yán)重的漏洞為ZSB-25043和ZSB-25042。在 Android 版 Zoom Workplace 應(yīng)用中，因授權(quán)處理不當(dāng)（CVE-2025-64741），攻擊者可能繞過訪問控制，執(zhí)行未經(jīng)授權(quán)的操作，如在未獲許可的情況下加入會議或訪問敏感會話數(shù)據(jù)。該漏洞影響所有未更新至最新補丁的 Android 版本，其根本原因在于權(quán)限檢查機(jī)制存在缺陷，使得遠(yuǎn)程攻擊者可通過網(wǎng)絡(luò)操控用戶權(quán)限。

另一項高危漏洞存在于 Windows 版 Zoom Workplace VDI 客戶端（CVE-2025-64740），源于加密簽名驗證不當(dāng)。該問題可能導(dǎo)致客戶端接受被篡改的更新包或遭通信劫持。研究人員指出，類似的簽名驗證漏洞曾多次引發(fā)供應(yīng)鏈攻擊風(fēng)險，攻擊者可將惡意代碼注入看似合法的軟件更新中，從而實現(xiàn)系統(tǒng)入侵。

此外，兩項中危漏洞與路徑操作有關(guān)。漏洞ZSB-25041（CVE-2025-64739）影響多個 Zoom 客戶端，因文件路徑控制不足，攻擊者可通過構(gòu)造輸入重定向文件操作，導(dǎo)致數(shù)據(jù)泄露或配合其他漏洞實現(xiàn)任意代碼執(zhí)行。另一項在 macOS 平臺的ZSB-25040（CVE-2025-64738）存在類似風(fēng)險，攻擊者可利用特制輸入穿越目錄并覆蓋關(guān)鍵文件。這類路徑遍歷問題雖常見于 Web 應(yīng)用，但在跨平臺桌面軟件中同樣危害嚴(yán)重，突顯輸入驗證的重要性。

更新公告中還包括ZSB-25015的修訂版本，該漏洞最初發(fā)布于 2025 年 4 月 8 日，并于 11 月 10 日更新說明。該問題涉及 Windows 版 Zoom Workplace 應(yīng)用中的空指針引用錯誤（CVE-2025-30670 與 CVE-2025-30671），可能導(dǎo)致程序崩潰或拒絕服務(wù)。雖然該漏洞不具備遠(yuǎn)程代碼執(zhí)行能力，但頻繁的崩潰仍可能影響業(yè)務(wù)連續(xù)性。

Zoom 官方已敦促用戶盡快將 Android、Windows、macOS 及 VDI 客戶端更新至最新版本，以防范潛在攻擊。公司未披露漏洞是否已被實際利用，但安全研究人員警告，這些漏洞若被組合使用，可能進(jìn)一步導(dǎo)致企業(yè)環(huán)境中的權(quán)限提升攻擊。

隨著遠(yuǎn)程辦公的持續(xù)普及，專家建議企業(yè)應(yīng)加強(qiáng)補丁管理、啟用多因素認(rèn)證，并持續(xù)監(jiān)控應(yīng)用異常行為。自 2025 年 8 月以來，Zoom 已連續(xù)修復(fù)十余項漏洞，其中包括多起高?！胺强尚潘阉髀窂健眴栴}。預(yù)計國家漏洞數(shù)據(jù)庫（NVD）將在近期公布 CVSS 評分，初步評估高危漏洞的分值均超過 7.5。

Zoom 用戶應(yīng)盡快更新，以防成為新一輪針對統(tǒng)一通信平臺攻擊的受害者。

安全圈

網(wǎng)羅圈內(nèi)熱點 專注網(wǎng)絡(luò)安全

實時資訊一手掌握！

好看你就分享 有用就點個贊

支持「安全圈」就點個三連吧！