Résumé :
La dernière version du client pour le système d'exploitation de bureau Linux appartenant au géant de la vidéoconférence Zoom a été exposée par la communauté de sécurité open source comme présentant de sérieux risques de violation de la vie privée. Selon des tests et analyses approfondis effectués par des chercheurs en sécurité open source et plusieurs utilisateurs de Linux,
lorsque la dernière version de l'application Zoom s'exécute en arrière-plan, elle interrogera et lira en permanence et secrètement le contenu sensible dans le presse-papiers du système sans aucune autorisation de l'utilisateur ni interaction de collage active, déclenchant des inquiétudes généralisées parmi les développeurs et les groupes de conformité de sécurité au niveau de l'entreprise.
Ce comportement anormal a été découvert accidentellement pour la première fois par des utilisateurs de la communauté open source lors du dépannage de la planification des ressources système et des journaux d'appels de l'interface. Selon les preuves techniques divulguées par des experts en réseau et en sécurité, dans l'environnement du serveur d'affichage X11 (et dans certaines couches de compatibilité Wayland qui n'imposent pas de restrictions strictes du bac à sable sur l'isolation du presse-papiers), que Zoom soit minimisé, réside en arrière-plan ou soit inactif pendant les réunions, son processus principal déclenchera fréquemment des appels d'API du presse-papiers du système. Cela signifie que les données textuelles extrêmement sensibles telles que les mots de passe de compte, les clés de récupération d'authentification à deux facteurs (2FA), les enregistrements de communications privées et même les codes secrets d'entreprise que les utilisateurs copient dans les navigateurs, les éditeurs de texte locaux ou même les gestionnaires de mots de passe seront capturées silencieusement par l'arrière-plan du client Zoom en quelques millisecondes tant qu'elles entrent dans le presse-papiers du système.
Ce phénomène a déclenché une réaction violente au sein de la communauté de la sécurité et de la technologie open source. Comme nous le savons tous, le presse-papiers, en tant que principale station de transfert temporaire pour l'échange d'informations dans les systèmes d'exploitation de bureau, a toujours été la cible de logiciels malveillants et d'outils d'espionnage. Cependant, en tant que logiciel de collaboration professionnel fréquemment utilisé par des dizaines de millions d'entreprises et de développeurs à travers le monde, sans fournir de déclencheur d'opération clair au premier plan (comme par exemple l'utilisateur cliquant activement sur la touche de raccourci « Coller dans la fenêtre de discussion »), l'application elle-même « avale » le presse-papiers du système en arrière-plan sans retenue, violant gravement le principe de minimisation des autorisations et le respect de la confidentialité des systèmes d'exploitation modernes.
Les analystes techniques pensent qu'il ne s'agit peut-être pas d'une porte dérobée d'espionnage malveillante activement implantée par Zoom, mais plutôt d'une erreur d'ingénierie de développement logiciel extrêmement grossière. Par exemple, en essayant d'introduire « la reconnaissance intelligente des liens de réunion dans le presse-papiers et des invites contextuelles pour rejoindre », le « formatage automatique du texte riche à envoyer » ou l'optimisation de cadres d'interface multiplateformes tiers (tels que les crochets inférieurs Qt ou Electron), l'équipe de développement peut avoir adopté une implémentation logique inefficace et dangereuse d'interrogation sans fin (Polling) 24 heures sur 24, ce qui a pour résultat que l'intégralité des données du presse-papiers est continuellement appelée sans protection. Cependant, quelle que soit l'intention de conception initiale, le fait que la lecture silencieuse soit non cryptée, non désensibilisée et non autorisée expose les informations d'identification sensibles des utilisateurs à un risque extrêmement élevé d'exposition des données.
Les experts en sécurité recommandent fortement qu'avant que Zoom ne publie officiellement un correctif officiel, les utilisateurs concernés sur la plate-forme Linux évitent autant que possible de manipuler des textes et des mots de passe sensibles à haut risque sur les systèmes exécutant Zoom ; dans le même temps, il est conseillé aux utilisateurs techniques de passer aux exigences d'isolation du presse-papiers. Un environnement de synthétiseur Wayland pur plus rigoureux, en utilisant des outils d'isolation de bac à sable tels que Firejail pour bloquer strictement l'autorisation de lecture de Zoom sur le bus du presse-papiers, ou en passant temporairement à l'exécution de réunions Zoom via le côté Web des navigateurs grand public pour minimiser les risques potentiels de fuite d'informations. Pour l'instant, les responsables de Zoom n'ont pas encore donné de réponse publique officielle sur la cause de la vulnérabilité, la gamme de versions spécifique affectée et le calendrier de diffusion du correctif officiel.
Commentaires