Videokonferenz-Dienst: Schwere Sicherheitslücke bei Zoom

Im derzeit weltweit stark genutzten Videokonferenz-Programm Zoom klafft offenbar eine große Sicherheitslücke. Sie erlaubt es Angreifern das Windows-Passwort zu stehlen. Doch es gibt eine Gegenmaßnahme.

Die Videokonferenz-Software Zoom erlebt derzeit weltweit einen gigantischen Boom: Sowohl Unternehmen als auch Privatnutzer schwören auf das Video-Tool, mit dem sich mühelos auch dutzende Teilnehmer zu einer Konferenz oder auch einem virtuellen Familientreffen zusammenschalten lassen.

Nachdem das Programm in den vergangenen Tagen schon wegen Datenschutzbedenken in die Kritik geraten war, wurde nun auch noch eine schwere Sicherheitslücke entdeckt: Wie die IT-Website "Bleeping Computer" berichtet, können Angreifer durch das Verschicken spezieller Links im Zoom-Chat an das Windows-Passwort des Opfers gelangen und so auch Programme auf dem Zielrechner ausführen, wenn das Opfer den Link im Chat anklickt.

Zoom macht Netzwerkpfade anklickbar

Das Problem sei, dass Zoom auch sogenannte UNC-Pfade in anklickbare Links umwandelt. Sie werden von Windows als Anweisung interpretiert, sich auf einem Server in einem bestimmten Ordner anzumelden und dort etwa eine Datei herunterzuladen. Dabei übermittelt Windows allerdings auch den Nutzernamen und das Passwort. Letzteres liegt zwar nicht in Klartext vor, lässt sich aber mit entsprechenden Programmen innerhalb von Minuten oder gar Sekunden entschlüsseln.

Die selbe Schwachstelle erlaubt es außerdem, dass Angreifer Programme auf dem Zielrechner starten. Hier wird vorher immerhin noch ein Hinweisfenster eingeblendet, doch viele Nutzer würden dies wohl bedenkenlos wegklicken, so die Befürchtung.

Man kann sich schon vor einem Update schützen

Die Sicherheitsforscher, die die Lücke gefunden haben, haben Zoom bereits informiert. Bis ein Update das Problem löst, kann man sich auch durch Vorsicht vor einem Angriff schützen: Jegliche Links, die nach dem Schema \\webadresse.xx\...\xxx.xxx aufgebaut sind, sollte man besser nicht anklicken. Ohnehin sollten nur Links von vertrauenswürdigen Chatpartnern geöffnet werden.

Tatsächlich lässt sich unter Windows auch unterbinden, dass die Anmeldedaten automatisch übermittelt werden, sobald man auf solch einen UNC-Pfad klickt. Das erfordert allerdings einen Eingriff in die Windows-Registry und könnte zudem Probleme bei der Nutzung mit bestimmten Netzlaufwerken nach sich ziehen. Wer es dennoch probieren möchte, findet eine Anleitung auf Bleeping Computer.