สัปดาห์ที่ผ่านมา นักวิจัยความปลอดภัยเปิดเผยช่องโหว่หลายอย่างบน Mac ที่เกิดจากแอปวิดีโอคอนเฟอร์รensi Zoom แอปอีก 2 ตัวคือ RingCentral และ Zhumu ที่พึ่งพาเทคโนโลยี Zoom ก็ได้รับผลกระทบเช่นกัน หลังการเปิดเผย Apple อยู่ในแนวหน้าจัดหาแพตช์ความปลอดภัยที่แก้ช่องโหว่เกี่ยวกับ Zoom
ผู้ใช้ Mac จะยินดีที่จะได้ยินว่า silent Mac updates พร้อมใช้งานเพื่อแก้ซอฟต์แวร์ Zoom ที่เปราะบาง เพราะเช่นที่จะได้เรียนรู้ บั๊กนี้เปิดโอกาสให้ผู้ใช้บริการ Zoom หลายล้านคนถูกโจมตีจากเว็บไซต์ร้ายและละเมิดความเป็นส่วนตัวอย่างรุนแรง
สาเหตุของช่องโหว่ Zoom คืออะไร?
ตามที่คุณรู้ Zoom เป็นแอปวิดีโอคอนเฟอร์รensi และการสื่อสารสำหรับ macOS เพื่อให้วิดีโอคอนเฟอร์รensi ทำงาน แอปต้องขออนุญาตก่อนเปิด Zoom client บนคอมพิวเตอร์ หรืออย่างน้อยที่คาดหวังไว้ ด้วยการเปลี่ยนแปลง Safari 12 ที่ต้องการการยืนยันผู้ใช้ก่อนเข้าร่วม Zoom call ใดๆ ทำให้ Zoom ยากขึ้นที่จะเปิดอัตโนมัติโดยไม่ได้รับความยินยอม บริษัทแต่อย่างไรก็ตาม พบวิธีเปิดใช้งานการเชื่อมต่ออัตโนมัติโดยติดตั้ง local host web server ที่สามารถเปิดใช้งานได้โดยการเชื่อมต่อ Zoom เข้า และไม่ต้องการความยินยอมจากผู้ใช้
ตามนักพัฒนาแอป นี่เป็น "legitimate solution a poor user experience problem" (วิธีแก้ที่ถูกต้องสำหรับปัญหาประสบการณ์ผู้ใช้ที่แย่) Local web server นี้ แต่สามารถใช้โดยเว็บไซต์ร้ายเพื่อเข้าร่วมแชท Zoom บังคับ และเปิดเว็บแคมบน Mac ของคุณ
นอกจากนี้ ช่องโหว่นี้ยังสามารถใช้โจมตี denial of service (DOS) บน Mac ได้ หากมีคำขอเข้าร่วมแชท Zoom ซ้ำๆ
หลังการเปิดเผย บางผู้ใช้พยายามลบซอฟต์แวร์ Zoom ออกจากคอมพิวเตอร์ แต่นั้นไม่ทำให้ปลอดภัยมากขึ้นเลย เพราะ local web server บนเครื่องของคุณสามารถติดตั้ง Zoom app ใหม่ได้ทุกครั้งที่ได้รับการเชื่อมต่อ Zoom เข้า
Apple แก้ช่องโหว่ Zoom
หลังการเปิดเผย Apple ถูกบังคับให้เปิดตัวอัปเดตที่ลบ Zoom localhost server และช่องโหว่ที่ทำให้แอปข้ามการควบคุมความเป็นส่วนตัวที่ตั้งไว้ Zoom ก็ออกอัปเดตระบุว่ากำลังทำงานบนแพตช์ และตั้งใจลบ local server ที่ทำให้เกิดการละเมิดความเป็นส่วนตัว แต่เมื่อ server ติดตั้งบน Mac หลายล้านเครื่องทั่วโลก มันมุ่งหน้าที่ Apple ต้องทำหน้าที่หนักและให้แน่ใจว่าช่องโหว่ได้รับการจัดการเร็วที่สุด Zoom เป็นบริการที่ใช้โดยบริษัทมากกว่า 750,000 แห่งทั่วโลก และลูกค้าทั่วไปหลายล้านคน
แพตช์ที่ Apple และ Zoom ออก หมายความว่าการติดตั้ง Zoom ไม่ได้เกี่ยวข้องกับการติดตั้ง local web server บนอุปกรณ์ Mac อีกต่อไป มีการตั้งค่าใหม่สำหรับบันทึกฟีเจอร์ "Always turn off my video" ที่ปิดวิดีโอใน Zoom อัตโนมัติ จนกว่าผู้ใช้จะเลือกเปิดด้วยตนเอง แพตช์ Zoom ยังดูแลช่องโหว่ที่เกิดจาก RingCentral และ Zhumu
วิธีรับ Security Patches ของ Apple สำหรับช่องโหว่ Zoom
เพื่อรับ security patches ล่าสุด ต้องมีอินเทอร์เน็ตเสถียร เพราะ Apple กำลัง push security updates แบบเงียบๆ ที่แก้ช่องโหว่ Zoom จะติดตั้งบน Mac ของคุณ และคุณจะไม่รู้สักเลย
เพื่อใช้ประโยชน์สูงสุดจากอัปเดตเหล่านี้ เราแนะนำให้รักษาสุขภาพคอมพิวเตอร์ให้ดีด้วยการทำความสะอาดด้วยเครื่องมือทำความสะอาด Mac ที่น่าเชื่อถือ เช่น Outbyte macAries เครื่องมือนี้จะสแกนคอมพิวเตอร์หามัลแวร์ ลบไฟล์ขยะ เพิ่มประสิทธิภาพ RAM และซ่อม registry entries การทำความสะอาดแบบนี้จะทำให้อัปเดตมีผลง่ายขึ้น เปราะบ้าง cleaner ยังลบหรือหยุด launcher ที่ไม่ต้องการ เช่น local host server ที่ให้ Zoom เปิดอัตโนมัติ
วิธีปิด Zoom Local Host Web Server ด้วยตนเอง
สามารถปิด Zoom local server ด้วยตนเองโดยไม่ติดตั้งอัปเดตได้ โดยเปิด Terminal และพิมพ์:
pkill ZoomOpener;rm -rf ~/.zoomus;touch ~/.zoomus &&chmod 000 ~/.zoomus;
และพิมพ์:
pkill "RingCentralOpener";rm -rf ~/.ringcentralopener;touch ~/.ringcentralopener &&chmod 000 ~/.ringcentralopener;#
กด Enter ทั้งสองกรณี จะช่วยแก้ช่องโหว่เกี่ยวกับ Zoom บน Mac ของคุณ
สรุป
สรุปคือ Zoom อยากข้ามการควบคุมความเป็นส่วนตัวของ Apple ที่ต้องการความยินยอมผู้ใช้ก่อนรับ Zoom video calls บริษัทจึงสร้างซอฟต์แวร์รองที่ทำให้ข้ามการจำกัดความปลอดภัยเหล่านี้ได้ ผลที่ไม่ได้ตั้งใจคือ การโจมตี DOS และการละเมิดความเป็นส่วนตัว
โชคดีที่ Apple และ Zoom กระทำเร็วป้องกันไม่ให้เกิดขึ้น โดยออก security updates แยกกัน เพื่อรับอัปเดตเหล่านี้ ต้องการแค่อินเทอร์เน็ตเสถียร หรือลบซอฟต์แวร์รอง (local host server) ที่ติดตั้งเป็นส่วนหนึ่งของแอป Zoom ด้วยตนเอง
นี่ไม่ใช่ครั้งแรกที่ Zoom ได้รับผลกระทบจากบั๊กร้ายแรง ไม่กี่เดือนก่อน บั๊กอีกตัวอนุญาตให้ผู้กระทำความร้ายเข้าควบคุมหน้าจอผู้ใช้และส่งข้อความแทน เข้าทำได้เช่นกัน
คุณคิดยังไงกับ Mac update ที่ออกเพื่อแก้ช่องโหว่เกี่ยวกับ Zoom? แชร์ความคิดในส่วนความคิดเห็นได้เลย
