新聞及推廣

Mac 平台上的網上視像會議軟件服務 Zoom 於較早前被發現存在嚴重安全漏洞，在被傳媒廣泛報導後終於推出緊急補丁，然而不徹底的補丁似乎未能滿足 Apple，於是 Apple 默不作聲的情況下推出更新，直接替用戶移除漏洞中的隱藏伺服器。

騎劫網絡攝影機，移除程式也能夠復原！
Zoom 是 Mac 平台上的網絡及視像會議服務，在較早前被發現零時差漏洞 (CVE-2019-13450)，黑客不但可以沒有授權的情況下騎劫用戶的網絡攝影機，而最危險是即使用戶已經移除 Zoom，仍然能夠透過隱藏的 localhost web 伺服器恢復該電腦的服務，因為移除程式時並沒有移除該伺服器，黑客能夠透過它重新把 Zoom 安裝在受害者的裝置上，過程除了瀏覽某網頁之外無需用戶互動，令這漏洞更加危險。

研究人員透露，用戶只要瀏覽一個嵌入特製 iFrame 的惡意網站，就會在用戶開啟攝影機時自己啟動進入 Zoom 的網絡會議。

Apple 推送更新撤底移除漏洞根源
這次 Apple 的更新是自動推送給用戶，無需用戶任何動作，自動移除 Zoom 的隱藏伺服器，徹底地消滅漏洞的根源。然而 Apple 這個舉動，似乎是出於對 Zoom 所採取的補救行動有所不滿，在本星期初，Zoom 已經緊急推出修正檔去移除該網絡伺服器，並且容許用戶手動完全移除 Zoom。不過該修正工作是由於研究人員公開漏洞，傳媒廣泛關注後的結果，而該修正也並不完整，顯示 Zoom 方面在解決問題時進度緩慢。

Zoom 在 7 月 12 日將會進一進更新，解決用戶預設啟動視像的憂慮，根據公佈，首次使用的用戶只要點選「always turn off my video」就會自動儲存為他們的視像設定。Zoom 現時大約有 400 萬名 Mac 用戶，Apple 認真處理也在所難免。

資料料來源：Threat Post