Vulnerabilidad de Zoom: un dibujo en la reunión alcanzaba para tomarle la PC a otro participante, y el cifrado de punta a punta te dejaba sin el parche de emergencia

La vulnerabilidad de Zoom que la empresa terminó de cerrar en julio viajaba escondida adentro de un dibujo. Tres fallas en la función de anotaciones —esa que deja marcar flechas y garabatos arriba de la pantalla compartida— permitían que un participante de la reunión atacara a otro: dos de ellas para ejecutar código en su máquina, y la tercera para colgarle el programa. Según los investigadores que la encontraron, la víctima no tenía que hacer nada más que estar en la llamada, y no veía ninguna señal en pantalla. Zoom publicó los tres boletines este martes 11 de agosto, y la versión que te deja tranquilo es la 7.1.5 (o la 7.0.6 si tu equipo quedó en la rama vieja).

Lo que vas a encontrar acá

• La vulnerabilidad de Zoom, en tres boletines y tres CVE
• Cómo un garabato se convierte en código que corre en tu PC
• El cifrado de punta a punta apagaba el escudo que Zoom había montado
• Dos documentos, dos severidades: quién dice qué
• Menos de 20 prompts: lo que de verdad inquieta del caso
• Qué versión tenés que tener, producto por producto
• ¿Y esto qué significa para vos?
• Preguntas frecuentes sobre la falla de anotaciones de Zoom

La vulnerabilidad de Zoom, en tres boletines y tres CVE

El 11 de agosto Zoom publicó tres boletines de seguridad —ZSB-26015, ZSB-26016 y ZSB-26017— y los tres apuntan al mismo lugar: la función de anotación del cliente. El mismo día, la firma A Security publicó el informe técnico completo bajo el nombre Zoomsday.

Un detalle de los créditos que conviene mirar: los dos primeros boletines dicen «reportado por Idan Levcovich, A Security», pero el tercero dice «reportado por Zoom Offensive Security», el equipo interno de la propia empresa. No es un hallazgo con tres partes: son dos, y al segundo llegaron los dos equipos por separado.

Sí: la función que usás tres veces por año para dibujar un círculo rojo alrededor de una celda de Excel resultó ser la puerta de entrada. La ironía es gratis; el parche también. Los tres puntajes son de la escala CVSS 3.1, que es la que usa Zoom en sus boletines.

«La falta de una comprobación de límites en la función de anotación de los clientes de Zoom permite una escritura fuera de límites, lo que puede permitirle a un participante de la reunión lograr la ejecución remota de código en otro participante a través del acceso a la red.»

ZSB-26015, boletín de seguridad de Zoom — ver boletín

Cómo un garabato se convierte en código que corre en tu PC

Cuando alguien dibuja sobre una pantalla compartida, Zoom no manda una imagen: manda un objeto. Una estructura de datos que describe el trazo —tipo, geometría, colores, cuántos caracteres tiene el cuadro de texto— y que el cliente del otro lado tiene que volver a armar para poder dibujarla. Un trazo a mano alzada viaja como CAnnoObjSmoothPen; un cuadro de texto, como CAnnoObjTextbox.

El problema es que el que recibe confía en los números que le mandaron: cada valor le dice cuánto más tiene que leer. En el primer bug los búferes son de 128 bytes fijos y nadie comprueba que el contador no se pase, así que un contador inflado escribe más allá del final del objeto: un desbordamiento de pila disparable en forma remota. El tercer CVE, el que Zoom acredita a su propio equipo, es peor —el parser lee bytes del atacante hacia una lista enlazada y la desarma sin validar los punteros—, y termina en lo que el informe llama una primitiva de escribir-qué-dónde: el atacante controla el valor que se escribe y también la dirección donde cae.

Falta cómo se propaga. Las anotaciones no van de a pares: pasan por el servidor de Zoom, y cada participante mantiene un canal con quien comparte pantalla. En los caminos analizados, el receptor no verificaba qué asiento ocupaba el que mandó el mensaje: el código de operación de «acá va un objeto» y el de «recibí tu objeto» se diferencian en un número —0x10001 y 0x10002—, así que poner uno donde se esperaba el otro alcanzaba.

El alcance, eso sí, no es igual para todos: quien comparte pantalla tiene un canal directo hacia cada participante de la sala; desde el asiento de un asistente común la misma falla apunta a uno solo, el que presenta. Y el dato que lo vuelve problema de todos: la función de anotación está siempre activa, la uses o no. El mismo código, además, compila en los clientes de Windows, macOS, iOS y Android.

El cifrado de punta a punta apagaba el escudo que Zoom había montado

Esta es la parte que no aparece en la nota de The Verge y que, para una PyME, es la más importante de toda la historia.

Cuando le reportaron el hallazgo, Zoom hizo dos cosas: parcheó el cliente y, además, desplegó una mitigación del lado del servidor que filtra los mensajes de anotación maliciosos antes de que lleguen a las máquinas. Es una red de contención pensada justamente para la gente que todavía no actualizó, que es siempre la mayoría.

El problema es que un servidor solo puede filtrar lo que puede leer. Y en las reuniones con cifrado de punta a punta (E2EE) el servidor está deliberadamente ciego. Resultado: en esas llamadas el mensaje malicioso pasaba entero y la falla seguía siendo plenamente explotable en clientes sin actualizar. La recomendación del propio informe es tan contraintuitiva que conviene leerla textual:

«Hasta que todos los clientes estén actualizados, podés desactivar la opción de cifrado de punta a punta. Desde la mitigación del lado del servidor de Zoom, los mensajes de anotación maliciosos se filtran antes de llegar a los clientes, y el cifrado mejorado —el que Zoom trae por defecto— deja ese filtro en su lugar. El E2EE lo elimina, porque un servidor no puede inspeccionar lo que no puede leer. El E2EE no habría detenido este ataque de todos modos: el atacante está en la reunión, con las llaves en la mano. Tiene sus propios usos, solo que no este.»

Informe Zoomsday, A Security — ver informe

Leelo dos veces, porque va contra el instinto: la opción que suena más segura era, en este caso puntual y solo mientras tuvieras un cliente viejo, la que te dejaba sin la red de contención. Y no compensaba con nada, porque el atacante no estaba interceptando la llamada desde afuera: estaba adentro, invitado, con las mismas claves que vos.

Que quede claro para no generar el pánico equivocado: esto vale para clientes sin actualizar. Si ya estás en 7.1.5 o 7.0.6, el agujero está tapado del lado del cliente y el E2EE vuelve a ser lo que siempre fue, una función de privacidad perfectamente razonable.

Dos documentos, dos severidades: quién dice qué

Los números no coinciden entre el investigador y el fabricante, y conviene que sepas de dónde sale cada uno. A Security describe los tres CVE como críticos, con puntaje 9.0 en la escala CVSS 4.0. Zoom los publica en CVSS 3.1: dos como High con 8.3 y uno como Medium con 6.5. Son escalas distintas, así que parte de la diferencia es metodológica y no implica que nadie mienta.

Hay un punto, sin embargo, donde la diferencia es de fondo: los tres vectores de Zoom incluyen UI:R, interacción de usuario requerida, y dos marcan complejidad alta. El informe insiste, en cambio, con la etiqueta zero-click. Las dos lecturas son defendibles según qué cuentes como «interacción» —entrar a una reunión y mirar una pantalla compartida es, técnicamente, algo que hace el usuario— y la conclusión práctica no cambia: el atacante necesita estar en la llamada, y una vez adentro la víctima no hace nada más ni ve ningún aviso. Último apunte de contexto: A Security se define en su propia página como una plataforma autónoma de seguridad ofensiva, y el informe cierra recomendando ese tipo de servicio.

Menos de 20 prompts: lo que de verdad inquieta del caso

El bug es grave, pero no es la noticia. La noticia es cuánto costó encontrarlo. A Security afirma que todo el trabajo —mapear la superficie de ataque de un programa de código cerrado, deducir un protocolo propietario sin documentación pública, encontrar la falla y construir un exploit funcional— se hizo con menos de 20 prompts sobre modelos de IA de acceso público, en menos de 24 horas, arrancando desde el cliente de Android.

Con un detalle honesto que el informe no esconde: el primer camino, un ranking automático de 3.762 funciones, no llevó a ningún lado. El hallazgo apareció trazando la aplicación en vivo, sobre una librería que ese ranking había puesto en el puesto 45.

«Producir un exploit funcional contra esto siempre fue trabajo de Estado: equipos de élite, meses de esfuerzo, presupuestos que los gobiernos regulan como armas. A Security lo hizo en un solo día, con un agente de IA y modelos a los que cualquiera accede hoy.»

Idan Levcovich, investigador senior de vulnerabilidades en A Security — vía el informe Zoomsday

En el hilo de Hacker News donde se discutió el informe, la lectura fue parecida pero con una aclaración sobre el alcance real del ataque:

«Parece legítimo y serio. Necesitar una invitación a la reunión es una barrera para explotarlo, pero no una enorme: está bien tratar una ejecución remota de código sin clic sobre Zoom como un asunto importante.»

@thatoneengineer en Hacker News — ver comentario

El mismo comentarista le dedica un elogio con retintín al informe: dice que está bien explicado y que no parece escrito por una IA, aunque sospecha que salió adaptado de un reporte que sí lo era. Es la misma línea que viene apareciendo hace semanas, y que ya cubrimos cuando OpenAI frenó el desarrollo de un modelo porque no podía descartar que hackeara solo. La diferencia es que acá el objetivo no era un ejercicio de laboratorio: era software comercial cerrado que, según el informe, usa el 70% de las empresas del Fortune 100.

La otra cosa que conviene tener clara es que el parche no es de hoy. Varias coberturas dieron a entender que Zoom arregló la falla este martes; lo que pasó el martes fue la divulgación pública. Los arreglos vienen de junio y julio:

Ojo con un detalle del cronograma que se puede leer mal: aunque el arreglo de los dos primeros CVE viajó en la 7.1.0 de junio, los boletines listan como afectado todo Zoom Workplace anterior a la 7.1.5, porque el tercero se tapó recién ahí. Si tu equipo quedó en la 7.1.0, está a mitad de camino. Ni el informe ni los boletines mencionan ataques reales, pero desde el martes el mapa del bug es público, que es cuando el riesgo para las máquinas sin parchear empieza a subir.

Qué versión tenés que tener, producto por producto

Los boletines listan cuatro productos afectados. Chequealo contra lo que tengas instalado en Ayuda → Buscar actualizaciones:

Atención con Zoom Rooms y el Meeting SDK, porque los propios boletines se pisan: ZSB-26015 y ZSB-26016 los dan por cubiertos desde la 7.1.0, pero ZSB-26017 —el del tercer CVE, el de 8.3— sube el piso a la 7.1.5. Vale el número más alto: una sala de reuniones que quedó en 7.1.0 está parcheada contra dos de los tres bugs y sigue expuesta al peor.

La descarga está en el sitio oficial de Zoom. Si administrás una cuenta con varios usuarios, el informe recomienda fijar una versión mínima por plataforma que aplique también a los invitados: de nada sirve que tu equipo esté al día si el cliente que entra a la reunión trae la versión de mayo.

¿Y esto qué significa para vos?

Si sos un usuario suelto que usa Zoom para hablar con la familia o con dos clientes, la tarea es una sola y tarda un minuto: abrí Zoom, andá a buscar actualizaciones y quedate en 7.1.5. Listo. No hay nada más que hacer y no hay razón para entrar en pánico.

Si administrás la cuenta de una PyME, la lista es más larga y vale la pena porque casi todo sirve para el próximo bug, no solo para este:

• Actualizá y fijá versión mínima, incluida la de los invitados externos, y prestale atención a las salas de reuniones: ese es el equipo que nadie mira.
• Revisá si alguien activó el cifrado de punta a punta en reuniones recurrentes. Con clientes al día no molesta; con clientes viejos, apaga el filtro del servidor.
• Tratá el ingreso a la reunión como control de acceso: sala de espera, código, solo usuarios autenticados y nada de publicar tu link personal de reunión. Este ataque solo necesitaba estar adentro.
• Apagá lo que no usa nadie. Cada función opcional es otro programa leyendo bytes que mandó un extraño: anotaciones, transferencia de archivos, pizarra, control remoto y apps de terceros se bloquean desde la administración.

Y queda una capa más, la que importa cuando el parche llega tarde. Digámoslo sin vueltas para no vender humo: un antivirus no frena una corrupción de memoria adentro de Zoom —eso lo tapa el fabricante, con la 7.1.5—. Lo que un antivirus con vigilancia de comportamiento sí puede hacer es frenar y registrar lo que el atacante intenta ejecutar después. El informe lo explica bien: el código que corre adentro de una app de videollamadas hereda sus permisos de cámara, micrófono y grabación de pantalla, y un cliente de reuniones no tiene ningún motivo para abrir un navegador. De hecho, la demostración en macOS terminó con el proceso de Zoom abriendo Safari. Si en tu equipo no hay nada mirando ese momento, una licencia como ESET Smart Security Premium para 1 PC puede cubrir ese tramo. Es el mismo hueco de el control remoto firmado que el antivirus no tiene por qué frenar: lo que decide no es solo qué archivo entró, sino qué empieza a hacer.

Y un apunte para la región: el consejo de «actualizá rápido» choca con la realidad de muchas oficinas de LATAM, donde las máquinas se actualizan cuando alguien se acuerda. Esta semana hubo dos recordatorios —además de Zoom, el martes de parches de agosto tapó 195 fallas en Windows 11, una ya explotada—. Si le vas a dedicar media hora a algo, que sea a eso.

Preguntas frecuentes sobre la falla de anotaciones de Zoom

¿Qué versión de Zoom tengo que tener para estar a salvo?

La 7.1.5 o la 7.0.6, según la rama en la que esté tu equipo. Zoom Workplace VDI para Windows necesita 7.0.11 o 6.6.16, y tanto Zoom Rooms como el Meeting SDK necesitan la 7.1.5. Lo verificás en Ayuda, buscando actualizaciones dentro de la propia aplicación.

¿Me afecta si entro a Zoom desde el navegador?

Los boletines listan como afectados los clientes de escritorio y móviles, no el cliente web. Según el informe de A Security, la versión del navegador directamente no tiene anotaciones ni pizarra, y lo que sí ejecuta corre aislado. Entrar desde el navegador es, para este caso puntual, la opción más conservadora.

¿Conviene apagar el cifrado de punta a punta en Zoom?

Solo como medida temporal si tenés equipos que todavía no pudiste actualizar. Con el cifrado de punta a punta activo, el servidor no puede filtrar los mensajes maliciosos antes de que lleguen. Una vez que todos los clientes estén en 7.1.5, podés volver a activarlo sin problema.

¿Hubo víctimas de esta falla en las anotaciones?

Ni los boletines de Zoom ni el informe de A Security mencionan ataques reales aprovechando estas tres fallas. La divulgación se coordinó para que los parches de cliente y la mitigación del servidor estuvieran desplegados antes de publicar los detalles técnicos, el 11 de agosto.

🛒 Te puede servir

ESET Smart Security Premium — 1 PC, 12 mesesVigilancia de comportamiento para lo que intente ejecutarse después. El bug de Zoom lo tapa la 7.1.5.Ver precio de hoy → Kaspersky Standard 2024 — 1 PC, 12 mesesMotor en tiempo real para lo que intente instalarse en el equipo. No reemplaza al parche.Ver precio de hoy →

¿Y vos qué opinás? Dejalo en los comentarios ⬇️
Cubrí lo que pasa después de que algo entra →