// LINUX-MAGAZIN — LINUX & OPEN SOURCE
Zoom: Schadcode-Angriff ohne Klick möglich
Mehrere Sicherheitslücken in Zoom ermöglichen Angriffe auf andere Teilnehmer, ohne dass diese selbst aktiv werden müssen. Weder ein Klick noch ein Download ist erforderlich. Über manipulierte Daten können Angreifer im schlimmsten Fall Schadcode auf fremden Geräten ausführen und während eines laufenden Meetings die Kontrolle darüber erlangen.
Die Schwachstellen wurden von IT-Sicherheitsforschern aufgedeckt. Betroffen sind Anwendungen für Android, iOS, Linux, macOS und Windows. Für Aufsehen sorgt auch die Methode, mit der die Fehler gefunden wurden: Mithilfe öffentlich verfügbarer KI-Modelle benötigten die Forscher nach eigenen Angaben weniger als 24 Stunden und nur 20 Prompts, um die Schwachstellen zu identifizieren und einen funktionierenden Angriff zu entwickeln.
Mehrere der Probleme betreffen die Anmerkungsfunktion der Software. Diese verarbeitet während eines Meetings automatisch die Daten anderer Teilnehmer. Manipulierte Nachrichten können dadurch fehlerhafte Speicherzugriffe auslösen und das Einschleusen fremden Codes ermöglichen. Die Anmerkungsfunktion muss vom Opfer dafür nicht einmal aktiv genutzt werden. Ein Angreifer kann sowohl als Teilnehmer als auch als Gastgeber eines Meetings auftreten und einzelne Geräte gezielt angreifen. Für Betroffene gibt es dabei nach Angaben der Forscher keinen sichtbaren Hinweis auf den Angriff. Nach einer erfolgreichen Übernahme wären unter anderem der Zugriff auf persönliche Daten, die heimliche Aktivierung von Mikrofon oder Kamera sowie die Installation weiterer Schadsoftware denkbar.
Eine Besonderheit betrifft Ende-zu-Ende-verschlüsselte Gespräche. Für ältere Softwareversionen wurde zwar zusätzlich ein serverseitiger Schutz eingerichtet, der schädliche Nachrichten herausfiltern soll. Bei vollständigen E-Meetings kann der Server die übertragenen Inhalte jedoch nicht überprüfen. Verwundbare ältere Clients bleiben daher einem erhöhten Risiko ausgesetzt. Darüber hinaus können angemeldete Nutzer mit lokalem Zugriff aufgrund eines weiteren Fehlers bestimmte Zugriffsbeschränkungen umgehen und auf nicht vorgesehene Informationen zugreifen. Eine weitere Schwachstelle ermöglicht es. Meeting-Teilnehmern, fehlerhafte Speicherzugriffe zu provozieren und dadurch die Anwendungen anderer Teilnehmer zum Absturz zu bringen.
Betroffen sind verschiedene Desktop- und Mobilversionen sowie VDI-, Raum- und SDK-Komponenten. Korrigierte Versionen stehen inzwischen bereit. Anwender und IT-Verantwortliche sollten die Aktualisierungen daher möglichst zeitnah installieren. Solange noch ältere Clients eingesetzt werden, kann außerdem das Abschalten der Ende-zu-Ende-Verschlüsselung das Risiko verringern. In Unternehmen bieten sich zusätzlich strengere Zugangsregeln für Meetings sowie das Deaktivieren nicht benötigter Funktionen wie Anmerkungen, Dateiübertragung, Whiteboards oder Fernsteuerung an.
Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) fordert eine europaweit einheitliche Lösung für den Umgang mit Cookie-Einwilligungen.
Google hat für 10 Millionen Dollar Geschäftsdaten - darunter 100 Millionen E-Mails, 500 Millionen MS-Teams-Konversationen, Kalender oder Spreadsheets - vom pleitegegangenen US-Billigflieger Spirit Airlines ersteigert. Mit den Daten will es seine KI-Modelle trainieren.
Die Entwickler des GNU Image Manipulation Programs haben einen Ausblick auf die kommende Version 3.4 gegeben. So mustern sie vor allem das alte Dateiformat XCF aus. Änderungen gibt es auch beim MyPaint-Brush-Werkzeug und der nicht-destruktiven Bearbeitung.
Für 65 Open-Source-Projekte aus der öffentlichen Verwaltung hat am 17. August das Community-Voting des Open Source Wettbewerbs 2026 begonnen.
Wireshark 4.6.8 ist erschienen. Die neue Version des Netzwerkprotokoll-Analysators schließt 28 Sicherheitslücken und korrigiert zahlreiche weitere Fehler. Ein großer Teil der behobenen Probleme konnte die Software zum Absturz bringen.