พบช่องโหว่ในเครื่องมือ Annotation ของ Zoom ทำให้ผู้เข้าร่วมประชุมสามารถเข้าควบคุมเครื่องของผู้เข้าร่วมรายอื่นได้

 

ผู้ที่แชร์หน้าจอในการประชุมผ่าน Zoom สามารถเข้าควบคุมเครื่องคอมพิวเตอร์ของผู้เข้าร่วมทุกคนที่กำลังรับชมอยู่ได้ และในทางกลับกัน ผู้เข้าร่วมที่กำลังรับชมก็สามารถเข้าควบคุมเครื่องของผู้ที่แชร์หน้าจอได้เช่นกัน

ช่องโหว่นี้อยู่ในเครื่องมือ Annotation ซึ่งเป็นฟีเจอร์ที่ให้ผู้เข้าร่วมประชุมวาด และพิมพ์ข้อความลงบนหน้าจอที่ถูกแชร์ได้ โดยการโจมตีไม่จำเป็นต้องอาศัยการกระทำใด ๆ จากเหยื่อ นอกจากการอยู่ในห้องประชุมเท่านั้น ไม่ต้องคลิก ไม่ต้องดาวน์โหลด ไม่มีหน้าต่างแจ้งเตือน และไม่มีสิ่งใดปรากฏบนหน้าจอที่บ่งชี้ว่าการโจมตีได้เกิดขึ้นแล้ว

แพตช์สำหรับช่องโหว่เหล่านี้ไม่ใช่ของใหม่ โดยการแก้ไขในฝั่ง Client ถูกปล่อยออกมาตั้งแต่เดือนมิถุนายน และกรกฎาคม ซึ่งเป็นเวลาราวสองเดือนก่อนที่ช่องโหว่จะถูกเปิดเผยต่อสาธารณะ และยังไม่มีรายงานการนำไปใช้โจมตีจริงจนถึงวันที่เผยแพร่รายงาน อีกทั้งช่องโหว่ทั้งสามรายการยังไม่ปรากฏอยู่ในบัญชีรายการช่องโหว่ที่กำลังถูกใช้โจมตีจริง (Known Exploited Vulnerabilities: KEV) ของหน่วยงานความมั่นคงปลอดภัยไซเบอร์ และโครงสร้างพื้นฐานของสหรัฐฯ (CISA)

เวอร์ชันที่ปิดช่องโหว่เหล่านี้ ได้แก่

• Zoom Workplace ทุกแพลตฟอร์มที่ยังอยู่ในการ support : เวอร์ชันก่อน 7.1.5 และ 7.0.6 ในแต่ละ branch ของตัวเอง
• Zoom Workplace VDI Client for Windows : เวอร์ชันก่อน 7.0.11 และ 6.6.16
• Zoom Rooms และ Zoom Meeting SDK ทุกแพลตฟอร์ม : เวอร์ชันก่อน 7.1.0 และเวอร์ชันก่อน 7.1.5 สำหรับช่องโหว่รายการที่สาม

งานวิจัยนี้มาจาก A Security ซึ่งเป็นสตาร์ทอัพด้าน Offensive Security ที่ก่อตั้งโดยชาวอิสราเอล และเพิ่งเปิดตัวออกจากสถานะ Stealth เมื่อเดือนมิถุนายน พร้อมเงินระดมทุน 37 ล้านดอลลาร์ โดยบริษัทระบุว่า ใช้เวลาไม่ถึงหนึ่งวันนับจากการค้นพบช่องโหว่จนได้ Exploit ที่ใช้งานได้จริง ด้วยการใช้ Prompt ไม่ถึง 20 ครั้งบนโมเดล AI ที่เปิดให้ใช้งานทั่วไป

ไม่มีใครภายนอกบริษัทสามารถตรวจสอบคำกล่าวอ้างนี้ได้ เนื่องจากรายงานไม่ได้ระบุชื่อโมเดลที่ใช้ นอกจากนี้ ทางผู้ผลิตเองยังให้คะแนนความรุนแรงของช่องโหว่ต่ำกว่าที่บริษัทดังกล่าวประเมินไว้ และยังให้เครดิตช่องโหว่หนึ่งในสามรายการแก่ทีมงานภายในของตนเอง

Zoom ไม่ได้เผยแพร่รายละเอียดทางเทคนิคใด ๆ ดังนั้นรายละเอียดการทำงานภายในจึงมาจากการทำ Reverse Engineering ของบริษัทดังกล่าวเอง

โดยภาพที่ถูกวาดขึ้นจะไม่ได้ถูกส่งผ่านเครือข่ายในรูปแบบของรูปภาพ แต่ Client จะแปลงให้อยู่ในรูปของ Object ที่มีโครงสร้าง และส่งออกไปในรูปแบบของชุดจำนวน Count ตามด้วยข้อมูล ซึ่งฝั่งผู้รับจะเชื่อถือค่าจำนวนเหล่านั้นในการกำหนดว่าจะอ่านข้อมูลมากน้อยเพียงใด

หนึ่งในค่าเหล่านั้นจะถูกนำไปเขียนลงใน Buffer ขนาดคงที่ 128 ไบต์ โดยไม่มีการตรวจสอบว่าข้อมูลมีขนาดพอดีหรือไม่ และเนื่องจากเป็นฟิลด์สุดท้ายของ Object ดังกล่าว ค่าจำนวนที่ใหญ่เกินจริงจึงทำให้การเขียนข้อมูลล้นออกไปนอกขอบเขต และทับลงบน Return Address ได้

สิ่งที่ทำให้ภาพวาดที่ถูกดัดแปลงเพียงชิ้นเดียวส่งผลกระทบต่อผู้เข้าร่วมทั้งห้องประชุมได้ คือการที่ไม่มีการตรวจสอบว่าข้อความนั้นถูกส่งมาจากที่ใด โดยผู้เข้าร่วมที่กำลังรับชมทุกคนจะมีช่องทางการสื่อสาร เชื่อมไปยังผู้ที่กำลังแชร์หน้าจอ และผู้ที่แชร์หน้าจอก็จะมีช่องทางย้อนกลับ ซึ่งถูกออกแบบมาเพื่อใช้ส่งข้อความตอบรับเท่านั้น

จากเส้นทางการทำงานที่นักวิจัยได้ตรวจสอบ ส่วนที่ทำหน้าที่กระจายข้อความ จะอ่านหมายเลขประเภทของข้อความจากข้อมูลที่ส่งมาบนเครือข่าย แล้วส่งต่อไปยัง Parser ที่ตรงกัน โดยไม่ตรวจสอบว่าผู้ส่งอยู่ในบทบาทใด ทั้งนี้ 0x10001 หมายถึง "นี่คือ Object" ส่วน 0x10002 หมายถึง "ได้รับ Object ของคุณแล้ว" ดังนั้นเมื่อส่งข้อความประเภทแรกเข้าไปในช่องทางที่ควรจะเป็นของประเภทที่สอง Client ของเหยื่อก็จะประกอบ Object ขึ้นมาใหม่ทั้งหมด

Zoom ติดตามช่องโหว่เหล่านี้ด้วยหมายเลข CVE-2026-53413 (CVSS 8.3) ซึ่งเป็นช่องโหว่ประเภท Buffer over-write และ CVE-2026-53414 (CVSS 6.5) ซึ่งเป็นช่องโหว่ประเภท Buffer over-read โดยทั้งสองรายการอยู่ภายใต้ ZSB-26015 และ ZSB-26016 รวมถึง CVE-2026-53415 (CVSS 8.3) ซึ่งเป็นช่องโหว่ประเภท Use-after-free ที่อยู่ภายใต้ ZSB-26017

ขณะที่บริษัทผู้ค้นพบให้คะแนนช่องโหว่ทั้งสามรายการอยู่ที่ 9.0 ตามมาตรฐาน CVSS 4.0 ซึ่งเป็นคะแนนที่ไม่ปรากฏอยู่ในประกาศแจ้งเตือนฉบับใดเลย ทั้งนี้ Zoom เป็นผู้ออก CVE record ของตนเอง และ NIST ก็ไม่ได้ให้คะแนนใหม่เป็นปกติอีกต่อไป ดังนั้นคะแนนที่ต่ำกว่าจึงมีแนวโน้มที่จะถูกใช้ต่อไป นอกจากนี้ CVSS Vector จากทางผู้ผลิตทั้งสามรายการยังระบุว่า จำเป็นต้องมีการโต้ตอบจากผู้ใช้ ซึ่งขัดแย้งกับการนำเสนอว่าเป็นช่องโหว่แบบ Zero-click

ข้อมูลจากทั้งสองฝ่ายแตกต่างกันมากที่สุดในกรณีของช่องโหว่ Buffer over-read โดยบริษัทผู้ค้นพบระบุว่า สามารถดึงข้อมูลในหน่วยความจำ Heap ที่ยังไม่ได้ถูกกำหนดค่าเริ่มต้นออกมาจาก Client ของเหยื่อได้ ซึ่งภายในมี Pointer ที่ชี้ไปยังโค้ดที่กำลังทำงานอยู่ และ vtable อันเป็นข้อมูลที่จำเป็นต่อการ Bypass การสุ่มตำแหน่งหน่วยความจำ (ASLR)

ในขณะที่ประกาศแจ้งเตือนระบุว่า ช่องโหว่เดียวกันนี้อาจทำให้ผู้เข้าร่วมประชุมสามารถทำ Denial of Service ได้ และให้คะแนนผลกระทบด้านความลับของข้อมูล (Confidentiality) อยู่ที่ระดับ None ส่วนการให้เครดิตก็แตกต่างกันเช่นกัน โดยประกาศสองฉบับระบุชื่อ Idan Levcovich จาก A Security ในขณะที่ฉบับที่ครอบคลุมช่องโหว่ Use-after-free ให้เครดิตแก่ Zoom Offensive Security ซึ่งเป็นทีมงานภายในที่อยู่เบื้องหลังการค้นพบช่องโหว่ยึดบัญชีผู้ใช้ระดับคะแนน 9.8 ที่บริษัทได้ออกแพตช์แก้ไขไปเมื่อเดือนกรกฎาคม

บล็อกโพสต์ของสตาร์ทอัพรายนี้ระบุว่า ช่องโหว่ทั้งสามรายการเป็นผลงานของตนเอง พร้อมกับยอมรับว่า Zoom ทราบถึงช่องโหว่รายการที่สามอยู่ก่อนแล้ว และได้ทำการกรองไว้ที่ฝั่งเซิร์ฟเวอร์ก่อนที่รายงานจะถูกส่งไปถึง อีกทั้งคำอธิบายเกี่ยวกับการใช้งาน AI ของบริษัทก็ยังมีรายละเอียดที่ยุ่งเหยิงกว่าบทสรุปที่บริษัทเขียนไว้เอง

การทำงานรอบแรกซึ่งเป็นการจัดอันดับฟังก์ชันที่สามารถเข้าถึงได้จาก Java layer แบบอัตโนมัติ ให้ผลลัพธ์ออกมาเป็นรายการฟังก์ชันจำนวน 3,762 รายการ จาก 70 ไลบรารี และไม่พบไลบรารีที่มีช่องโหว่เลย โดยจัดอันดับไลบรารีดังกล่าวไว้ที่ลำดับที่ 45 ซึ่งไลบรารีนี้ถูกพบก็ต่อเมื่อทีมงานได้ติดตามการทำงานของ Client ในระหว่างการประชุมจริงทีละฟีเจอร์ โดย Levcovich เขียนไว้ว่า กำแพงในการสร้าง Exploit ประเภทนี้ได้พังทลายลงแล้ว และจะไม่กลับมาอีก

การเปิดเผยครั้งนี้เกิดขึ้นหลังจากที่ OpenAI ได้แยกโปรแกรม Daybreak ออกจากกันก่อนหน้านั้นหนึ่งวัน และปล่อย GPT-5.6-Cyber ให้เฉพาะพาร์ทเนอร์ที่ผ่านการคัดกรองเท่านั้น ด้วยเหตุผลว่า ความสามารถระดับนี้จำเป็นต้องมีการควบคุมการเข้าถึง ขณะที่สตาร์ทอัพรายนี้ระบุว่า ได้ผลลัพธ์ดังกล่าวมาจากโมเดลที่ใครก็สามารถใช้งานได้ ทั้งนี้ จากการวัดผลของ OpenAI เอง โมเดลสาธารณะที่มี Guardrail จะตอบ Prompt ด้าน Offensive Security ขั้นสูงเพียง 1.5% เทียบกับ 95% ของโมเดลที่ถูกจำกัดการเข้าถึง

ที่มา : thehackernews