Calipia : le blog

L’application Zoom (le service de visioconférence star du moment) pour MacOs souffre d’une vulnérabilité, mise à jour par un spécialiste en sécurité, Jonathan Leitschuh, et qui permet à des sites web malintentionnés d’activer la webcam sans autorisation préalable de l’utilisateur. Qui plus est cette vulnérabilité permet aussi, sur les anciennes versions de l’appli, de provoquer un déni de service de la part du Mac concerné en lui envoyant sans arrêt des invitations à rejoindre un call zoom invalide !

La faille a été découverte par J.Leitschuh en mars dernier, et il en a informé discrètement Zoom, qui n’a semble t’il pas pris la mesure du problème, puisqu’à aujourd’hui (9 juillet) toujours pas de correctif pour l’application [MAJ 10/07/19 – Zoom vient d’annoncer qu’il va proposer très rapidement un correctif]

Pour parer au problème, il faut s’assurer de disposer de la dernière version de l’appli (pour éviter le DoS), et désactiver le démarrage auto de la webcam lorsqu’on rejoint un meeting Zoom.

Attention, il ne suffit pas de désinstaller l’application car en fait celle-ci a mis en place un serveur web sur le Mac, pour contourner certaines limitations imposées par Safari (et qui permettent justement de ne pas tomber dans le piège décrit ici !), et simplifier la vie des utilisateurs en limitant le nombre de clics pour rejoindre une réunion Zoom. Par ailleurs, ce serveur est capable d’initiative puisqu’il peut réinstaller l’application Zoom si d’aventure l’utilisateur clique sur un lien de réunion Zoom et que l’application n’est pas installée… Donc si vous choisissez de désinstaller l’application Zoom il va aussi falloir passer par le Terminal de MacOS pour régler le compte du serveur web installé par l’application Zoom.

La procédure pour cela est décrite par macg.co (merci à eux, j’ai pu la tester pour mon propre cas – mon conseil : copiez/collez les commandes surlignées dans votre Terminal) :

• Récupérer l’identifiant du serveur. Saisissez la commande lsof -i :19421 pour connaître l’identifiant du serveur local. S’il n’est pas actif, vous ne verrez aucun résultat. Sinon, vous verrez une ligne avec plusieurs informations. Copiez le nombre inscrit sous la mention « PID ».
• Arrêter le serveur local : saisissez la commande kill -9 dans le terminal, puis un espace et collez l’identifiant récupéré à l’étape précédente.
• Supprimer le dossier du serveur local : utilisez la commande rm -rf ~/.zoomus pour supprimer le dossier où le serveur local est installé.
• Empêcher la réinstallation du serveur par Zoom : pour bloquer totalement l’app et l’empêcher de recréer un serveur local, saisissez la commande touch ~/.zoomus qui va créer un fichier vide.