macOS: Apple kümmert sich um kritische Sicherheitslücke der Videochat-App Zoom (Update: weitere Apps betroffen)

Nachdem sich der Anbieter der macOS-Videokonferenz-Software Zoom mit einem Update um eine schwerwiegende Sicherheitslücke gekümmert hat, stellt Apple nun sicher, dass die Schwachstelle der App bei allen Nutzern geschlossen wird. So hat Apple eines seiner seltenen Hintergrund-Updates veröffentlicht, das einen von der Software installierten Webserver deaktiviert.

Doppelt hält besser

Wie Apple gegenüber TechCrunch bestätigt, hat das Unternehmen ein Update für macOS verteilt, das einen versteckten Webserver unschädlich macht. So nutzten die Entwickler von Zoom einen Webserver für bestimmte Funktionen ihrer Videokonferenz-App. Die Installation des Webservers geschah ohne das Wissen der Nutzer. Doch viel schlimmer ist die Tatsache, dass die Software-Komponente eine gravierende Schwachstelle mit sich brachte, durch die ein Angreifer einen Zugriff auf die Kamera erhalten konnte. Richtig pikant wird das Thema, da der Webserver auch auf dem System verbleibt, wenn man die Videochat-App löscht.

Die Funktion hatte Zoom nach eigenen Angaben genutzt, um eine Änderung von Safari 12 zu umgehen. Denn der Browser hatte es verhindert, dass eingehende Anrufe automatisch angenommen werden können. Zögernd lenkte der Entwickler nun ein und entfernte den Webserver von seiner Software. Apple geht jedoch auf Nummer sicher und kümmert sich mit einem automatischen Update selbst um die versteckte Server-Komponente. Die grundlegenden Funktionen der Zoom-App werden dadurch nicht gestört. Videochats werden nun jedoch nicht mehr automatisch gestartet.

Update: RingCentral und Zhumu ebenfalls betroffen

Wie The Verge berichtet, ist die Sicherheitslücke des Webservers nicht nur bei der Videokonferenz-App von Zoom zu finden, sondern auch bei RingCentral und Zhumu, die zu großen Teilen auf dem gleichen Code basieren. Beide Anwendungen werden ebenfalls verstärkt für Video-Chats in Unternehmen verwendet. Apples Update kümmert sich jedoch vorerst nur um die Software von Zoom. Bei RingCentral und Zhumu bleibt somit der versteckte Webserver aktiv. Ein Update der Apps wird dringend empfohlen.