Zoomは、悪意のある会議参加者がリモートでコードを実行したり、他の参加者のクライアントをクラッシュさせたり、機密ファイルにアクセスしたりできる可能性がある4件のセキュリティ脆弱性を修正しました。
最も深刻な問題であるCVE-2026-53413は、この脆弱性を発見した研究チームA Securityによって「Zoomsday」と名付けられています。
この脆弱性はZoomの注釈エンジンに影響し、被害者がリンクをクリックしたり、プロンプトを承認したり、ファイルをダウンロードしたりする必要はなく、会議に参加する以外に目に見える操作を一切行わなくても悪用可能です。
ZoomはCVE-2026-53413を深刻度「高」と評価し、CVSSスコア8.3を割り当てました。同社によると、この脆弱性はZoomクライアントの注釈機能における境界チェックの欠如が原因だとしています。
リモートの参加者はネットワークアクセスを通じてこの問題を悪用し、他の参加者のシステム上でコードを実行できる可能性があります。この脆弱性が特に懸念されるのは、画面共有セッション中に注釈データが受信側のZoomクライアントによって自動的に処理される点です。
この脆弱な機能により、参加者は共有された画面上に描画したり、ハイライトを付けたり、テキストを挿入したりできます。インターフェースの裏側では、Zoomは独自プロトコルを使用して、コンテンツを共有している会議参加者と、それを閲覧している参加者との間で注釈オブジェクトをやり取りしています。
CSNの説明によれば、この仕組みは閲覧者と発表者の間に直接の通信チャネルを生み出しており、攻撃者が細工した注釈データを特定の参加者に送信できてしまうとのことです。
セキュリティ分析により、影響を受けるルーチンはテキスト注釈の書式情報を処理するCAnnoFormatBlock::Deserializeであることが特定されました。
この関数は固定サイズ128バイトのバッファを持つ一方で、ネットワーク経由で受信した32ビットの文字数を受け入れます。クライアントが受信した値が宛先バッファに収まるかどうかを確実に確認していないため、悪意のある参加者はバッファオーバーライトを引き起こし、隣接するメモリを破壊できる可能性があります。
悪用が成功するシナリオでは、このメモリ破壊によってアプリケーションの制御フローが変更され、任意のコード実行が可能になる恐れがあります。
研究者らはmacOS上でこの問題を実証し、被害者のデバイスでSafariを密かに起動させることに成功しました。この概念実証は、会議内で被害者に警告が表示されることなく、コードを実行できることを示しています。
今回の公開デモではブラウザの起動にとどまりましたが、リスクはそれだけに限られません。リモートコード実行の脆弱性が実際に悪用された場合、侵害されたZoomクライアントの権限の下で、マルウェアの実行、データの収集、持続的な足場の確立、デバイスリソースへのアクセスなどに使われる可能性があります。
Zoomは、Zoomsdayの脆弱性に加えて3件の追加問題も開示しています。CVE-2026-53414は注釈コンポーネントに存在する深刻度「中」のバッファオーバーフローで、参加者がサービス拒否(DoS)状態を引き起こせる可能性があります。
CVE-2026-53415は、注釈機能における深刻度「高」の解放後使用(use-after-free)の脆弱性で、こちらもリモートコード実行につながる可能性があります。
CVE-2026-53416は、Zoom Workplace VDI ClientおよびVDI Pluginsに影響する深刻度「高」のパストラバーサルの脆弱性で、認証済みのローカル攻撃者が意図されたディレクトリの外にあるファイルにアクセスできる可能性があります。
注釈関連の脆弱性はサポート対象の全プラットフォームのZoomクライアントに影響する一方、パストラバーサルの問題はVDI環境に固有のものです。Zoomの公告では、Zoom Workplace 7.1.5および7.0.6、Zoom Rooms 7.1.5、Zoom Meeting SDK 7.1.5などの修正済みリリースが挙げられています。
VDIを利用しているユーザーは、サポート対象のブランチに応じて、Zoom Workplace VDI Client 7.0.11または6.6.16、およびVDI Plugin 7.0.11または6.6.15へ移行する必要があります。
Zoomは現時点で実際の悪用は報告されておらず、公開された武器化済みの概念実証コードが出回っているという情報も確認されていません。とはいえ、各組織はこれらの脆弱性を緊急のパッチ適用対象として扱うべきです。
管理者は、更新されたZoomパッケージを一元的に展開し、エンドポイント管理ツールを通じて最低バージョンを強制し、ゴールドイメージを更新するとともに、Zoomクライアントから起動される不審なプロセスがないか調査すべきです。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの可視性を完全に高めて、SOCを強化しMTTRを短縮しましょう
翻訳元: https://cyberpress.org/zoom-zero-click-flaw/
