溫馨提示×
您好，登錄后才能下訂單哦！
點擊 登錄注冊 即表示同意《億速云用戶服務條款》
您好，登錄后才能下訂單哦！
Zoom會議客戶端遠程代碼執行漏洞CVE-2020-6110指的是什么，很多新手對此不是很清楚，為了幫助大家解決這個難題，下面小編將為大家詳細講解，有這方面需求的人可以來學習下，希望你能有所收獲。
0x00 漏洞背景
2020年06月09日， 360CERT監測發現 Talos安全研究團隊 發布了 Zoom客戶端遠程代碼執行 的風險通告，該漏洞編號為 CVE-2020-6110，漏洞等級：高危。
Zoom 是一款多人云視頻會議軟件，為用戶提視頻會議與移動網絡會議功能的云視頻通話服務。
Zoom客戶端 存在 目錄穿越漏洞/文件覆蓋漏洞，遠程攻擊者 通過 在會議中分享惡意壓縮文件，可以造成 遠程代碼執行。
對此，360CERT建議廣大用戶及時安裝最新補丁，做好資產自查以及預防工作，以免遭受黑客攻擊。
360CERT對該漏洞的評定結果如下
| 評定方式 | 等級 |
|---|---|
| 威脅等級 | 高危 |
| 影響面 | 一般 |
根據 Talos的分析報告
Zoom 客戶端在實現代碼片段分享功能時，采用了一些較為不安全的技術方案。
采用了 XMPP 對消息內容進行封裝
采用 ZIP 對分享的代碼進行打包傳輸
Zoom 的XMAPP通信功能存在以下隱患：
邏輯未經過嚴格的校驗，允許用戶篡改并發布惡意內容至其他用戶
消息以明文進行傳輸
Zoom的解壓功能中存在漏洞，因此導致目錄穿越并覆蓋目標文件。Zoom的解壓功能存在以下隱患：
文件名構造允許以目錄穿越形式
任意擴展名結尾都可以被解壓
允許客戶端自動解壓接收到的壓縮包，并且未對壓縮包內容進行驗證
因此攻擊者可以遠程向其他用戶投遞惡意文件，并觸發文件覆蓋操作，最終導致遠程代碼執行。
Zoom Client Application：4.6.10
Zoom Client Application：4.6.11
升級到 Zoom Client Application 4.6.12
針對本次安全更新，Windows用戶可通過360安全衛士實現對應補丁安裝，其他平臺的用戶可以根據修復建議中的產品更新版本，對存在漏洞的產品進行更新。
看完上述內容是否對您有幫助呢？如果還想對相關知識有進一步的了解或閱讀更多相關文章，請關注億速云行業資訊頻道，感謝您對億速云的支持。
免責聲明：本站發布的內容（圖片、視頻和文字）以原創、轉載和分享為主，文章觀點不代表本網站立場，如果涉及侵權請聯系站長郵箱：is@yisu.com進行舉報，并提供相關證據，一經查實，將立刻刪除涉嫌侵權內容。
