缩放零天发现使得呼叫更安全，黑客$ 200k富裕
两位荷兰白帽安全专家进入年度计算机黑客竞赛PWN2OWN，设法找到一个远程执行（RCE）缺陷在缩放中，比以前更好的USD。
PWN2OWN是由零日计划组织的高调活动，这些活动挑战黑客在常用软件和移动设备中找到严重的新漏洞。该活动被认为是为了证明流行的软件和设备具有缺陷和漏洞，并为漏洞的地下交易提供了对抗。
“目标”志愿他们的软件和设备，并为成功攻击提供奖励。粉丝被治疗到一个黑客奇观，成功的黑客获得了荣誉，没有少量现金（在这种情况下，奖励是一个200,000美元的奖励），并且供应商发现可能销往犯罪分子的令人讨厌的错误。
Pwn2own 2021从4月6日至4月8日跑。今年的完整时间表可以在其网站上找到。今年该活动专注于在包括Microsoft团队和缩放包括Microsoft团队（WFH）的软件和设备上，出于显而易见的原因。
被网络安全公司所雇用的Keuper和Alkemade，组合三个漏洞，在PWN2WN事件的第二天接管远程系统。漏洞不需要受害者的互动。他们只是需要放大呼叫。
根据负责任的披露，该方法的完整细节已保存在包装之下。我们所知道的是，它是远程代码执行（RCE）漏洞：作为一类软件安全漏洞，允许恶意演员在LAN，WAN或Internet上执行他们在远程计算机上选择的代码。
我们还知道该方法在缩放软件的Windows和Mac版上工作，但不影响浏览器版本。目前尚不清楚IOS-和Android应用程序是否易受群体，因为Keuper和Alkemade没有看待那些。
PWN2OWN组织推断了一个GIF，证明了行动的脆弱性。您可以看到攻击者在运行缩放系统上打开计算器。 Calc.exe通常用作黑客在远程系统上打开的程序，以显示它们可以在受影响的计算机上运行代码。
我们仍然仍然确认了#zoom利用大安和thijs的详细信息，但这里＆＃39;是一个更好的GIF行动中的错误。 #pwn2own #popcalc pic.twitter.com/nidtwik0aw
- 零日倡议（@thezdi）4月7日，2021年4月7日
可以理解，缩放尚未有时间为漏洞发出补丁。在缺陷的细节之前，他们有90天的时间来这样做，但在那个时期结束之前，它们预计将在这方面进行。研究人员在PWN2WOWEN活动的第二天出现了这个漏洞的事实并不意味着他们在这两天内发现了它。他们将在几个月的研究中放置，找到不同的缺陷，并将它们与RCE攻击结合起来。
这个事件和包围它的程序和协议，非常恰当地表现出白帽黑客如何工作以及负责任的披露意味着什么。将详细信息保留给自己，直到对涉及的每个人都可以轻松保护，因为涉及的每个人都可以获得（有谅解厂商将竭尽所能，并快速生产补丁）。
目前，这两个黑客和缩放是唯一知道漏洞如何工作的人。只要它保持这种方式，Zoom用户不必担心。对于那些担心的人，浏览器版本据说是安全的漏洞。对于其他任何人来说，让您的EYSES在出现后尽早剥离补丁并更新。
