Waspadalah Jika Ingin Pakai Zoom di Laptop Mac, Kenapa?

Aplikasi video konferensi Zoom versi macOS, sistem operasi untuk laptop dan komputer Apple, dinilai memiliki kelemahan fatal lantaran punya celah eksploitasi hingga bisa memberi akses ke seluruh sistem operasi.

Spesialis keamanan Mac Patrick Wardle, pada konferensi peretasan Def Con di Las Vegas, Jumat (12/8), mengungkapkan Zoom sudah memperbaiki sejumlah bug. Namun, ia memperlihatkan rangkaian kerentanan yang masih memengaruhi sistem saat ini.

Awalnya, dikutip dari Endgadget, dia menemukan celah itu pada pengecekan tanda tangan aplikasi (signature check). Fungsi ini mengesahkan integritas pembaruan app yang diinstal dan memeriksanya untuk memastikan bahwa itu adalah versi baru Zoom.

Dengan kata lain, fitur ini bertugas memblokir penyerang agar tidak menipu penginstal pembaruan otomatis agar mengunduh versi aplikasi yang lebih lama dan lebih rentan.

Masalahnya, ungkap Wardle, penyerang dapat melewati pemeriksaan tanda tangan ini dengan menamai file malware mereka dengan cara tertentu. Dengan begitu, mereka bisa masuk dan mendapatkan akses root dan mengontrol Mac korban.

Wardle kemudian memberitahu Zoom soal celah ini pada Desember 2021. Pembaruan dilakukan. Namun, kata dia, perbaikan itu malah mengandung bug lain. Kerentanan kedua ini bisa memberi penyerang cara untuk menghindari perlindungan Zoom untuk memastikan versi terbaru aplikasi.

Pendiri Objective-See Foundation, sebuah organisasi nirlaba yang membuat perangkat keamanan open-source untuk macOS, itu juga menemukan bahwa kerentanan ini membuat hacker bisa mengelabui alat yang memfasilitasi distribusi pembaruan Zoom agar menerima versi perangkat lunak konferensi video yang lebih lama.

Zoom juga telah memperbaiki kekurangan itu. Wardle malah menemukan kerentanan lain. Dia menemukan bahwa ada titik waktu antara verifikasi penginstal otomatis dari paket perangkat lunak dan proses instalasi sebenarnya. Hal ini memungkinkan penyerang untuk menyuntikkan kode berbahaya ke dalam pembaruan.

Menurut dia, paket instalasi itu tampaknya mempertahankan izin baca-tulis (read-write permission) aslinya yang memungkinkan pengguna mana pun untuk memodifikasinya. Itu berarti pengguna tanpa akses root pun dapat menukar isinya dengan kode berbahaya dan mendapatkan kendali atas komputer target.

"Bagi saya itu agak bermasalah karena saya tidak hanya melaporkan bug ke Zoom, saya juga melaporkan kesalahan dan cara memperbaiki kodenya," kata Wardle kepada The Verge.

"Jadi sangat frustrasi untuk menunggu, enam, tujuh, delapan bulan [untuk] mengetahui bahwa semua versi Zoom di Mac yang berada di komputer pengguna itu rentan," imbuh dia.

Dalam sebuah pernyataan kepada The Verge, Matt Nagel, pimpinan humas keamanan dan privasi Zoom, mengatakan "Kami menyadari kerentanan yang baru dilaporkan dalam pembaruan otomatis Zoom untuk macOS dan sedang bekerja keras untuk mengatasinya."