Thought Leadership
Zoom hat vier Sicherheitslücken geschlossen, darunter eine Schwachstelle in der Annotationsfunktion, über die sich mutmaßlich Code ohne Klick ausführen ließ.
Entdeckt wurden die Schwachstellen mit dem Namen „Zoomsday“ von der Sicherheitsfirma A Security, die den zugehörigen Fehler in der proprietären Annotationsfunktion von Zoom bereits am 8. Juni fand und die Erkenntnisse am 10. Juni an Zoom meldete. Die schwerwiegendste der drei Lücken, CVE-2026-53413 mit einem CVSS-Wert von 8,3, betrifft eine fehlende Bereichsprüfung in der Funktion CAnnoFormatBlock::Deserialize, die für die Verarbeitung von Formatierungsinformationen bei Text-Anmerkungen zuständig ist. Da die Funktion zwar feste, 128 Byte große Puffer nutzt, aber über das Netzwerk beliebig große Zeichenanzahlen entgegennimmt, ließ sich der vorgesehene Speicherbereich überschreiben.
A Security erklärte dazu, jeder Zoom-Client verarbeite automatisch alles, was er empfange, sodass eine speziell präparierte Nachricht ausreiche, um den Speicher des empfangenden Clients zu beschädigen und darauf Code auszuführen. Da das dem Annotator zugrunde liegende Protokoll einen direkten Kanal zwischen Betrachter und Bildschirmfreigebendem öffnet, ließen sich damit einzelne Meeting-Teilnehmer gezielt angreifen.
Zusätzlich fand A Security mit CVE-2026-53414, einem CVSS-Wert von 6,5, eine weitere fehlende Bereichsprüfung in derselben Funktion, über die sich ein Absturz beim Opfer auslösen ließ, sowie CVE-2026-53415 mit einem CVSS-Wert von 8,3, einen Use-after-free-Fehler, den Zoom nach Angaben der Forscher zum Zeitpunkt der Meldung bereits selbst entdeckt hatte. Bemerkenswert an der Forschungsarbeit: Nach eigenen Angaben der Forscher entwickelten sie den funktionierenden Exploit mit Unterstützung öffentlich verfügbarer KI-Modelle und weniger als 20 Prompts in weniger als 24 Stunden, unter anderem zur Priorisierung interessanter nativer Funktionen sowie zur Rekonstruktion des proprietären Annotationsprotokolls.
Patches liefen bereits seit Ende Juni, öffentliche Meldung folgte im August
Obwohl die Schwachstellen erst am 11. August öffentlich bekannt gegeben wurden, hatte Zoom nach Angaben von A Security bereits deutlich früher reagiert: Ein clientseitiger Patch für die ersten beiden Lücken erschien bereits am 22. Juni in Version 7.1.0, eine serverseitige Abwehrmaßnahme für ältere Versionen folgte am 15. Juli, der vollständige Patch für die dritte Lücke am 20. Juli in Version 7.1.5. A Security begründete die verzögerte Veröffentlichung damit, Kunden ausreichend Zeit geben zu wollen, sowohl den Client-Patch als auch die serverseitige Abwehrmaßnahme zu erhalten, bevor die Details öffentlich gemacht würden.
Bemerkenswert ist zudem eine Diskrepanz zwischen der Einordnung durch die Forscher und durch Zoom selbst: Während A Security durchgehend von einem Zero-Click-Angriff ohne jegliche Nutzerinteraktion spricht, führt Zoom in den eigenen, offiziellen CVSS-Vektoren zu allen drei Schwachstellen ausdrücklich eine erforderliche Nutzerinteraktion auf. Auch bei der Einstufung von CVE-2026-53414 gehen beide Seiten auseinander: Zoom bewertet die Lücke als reinen Denial-of-Service-Fehler ohne Auswirkung auf Vertraulichkeit, während A Security sie als notwendigen Baustein zur Offenlegung von Speicherinhalten innerhalb der gesamten Angriffskette beschreibt.
Vierte Lücke betrifft VDI-Client
Zusätzlich schloss Zoom mit CVE-2026-53416 eine separate Path-Traversal-Schwachstelle, die zur Offenlegung von Informationen führen konnte und die Windows-Versionen des Workplace-VDI-Clients sowie zugehörige Plugins betraf. Betroffen von den drei Annotator-Schwachstellen sind Zoom Workplace vor den Versionen 7.1.5 beziehungsweise 7.0.6, Zoom Rooms vor Version 7.1.5 sowie das Meeting SDK vor Version 7.1.5 auf allen unterstützten Plattformen. Nutzern wird empfohlen, ihre Zoom-Clients zeitnah auf die jeweils aktuelle Version zu aktualisieren.
(red)
