Apple在隱形Mac更新中刪除了Zoom Web服務(wù)器

Apple周三推出了一項針對Mac用戶的自動更新，刪除了由視頻會議應(yīng)用Zoom創(chuàng)建的本地主機服務(wù)器，保護用戶免受不必要的網(wǎng)絡(luò)攝像頭訪問威脅。

根據(jù)Apple的說法，無聲更新使所有Zoom用戶免受最近發(fā)現(xiàn)的Web服務(wù)器漏洞的影響，而不會影響應(yīng)用程序本身的運行，TechCrunch報道。

早期版本的Zoom安裝了本地主機Web服務(wù)器，以繞過作為Safari 12的一部分部署的安全協(xié)議。

為了保護用戶免受惡意攻擊者的攻擊，Apple的Web瀏覽器需要在網(wǎng)站或鏈接嘗試啟動外部時與對話框進行交互應(yīng)用程序。為了尋求簡化的一鍵打開用戶體驗，Zoom試圖繞過Safari功能，并在其Mac客戶端軟件包中安靜地構(gòu)建了本地Web服務(wù)器。

Zoom的實施中的一個缺陷使應(yīng)用程序離開了，隨后所有安裝該軟件的Mac用戶都可以進行攻擊。

安全研究員Jonathan Leitschuh本周詳細(xì)介紹了零日披露中的漏洞。Leitschuh發(fā)現(xiàn)，將簡單的啟動操作或iframe嵌入到網(wǎng)站中會自動將用戶放入啟用Mac的網(wǎng)絡(luò)攝像頭的Zoom會議中。由于該漏洞存在于Web服務(wù)器中并且未被應(yīng)用于應(yīng)用程序，因此該攻擊不僅在Safari中有效，而且在Chrome和Firefox中也是如此。

此外，即使卸載了Zoom并且能夠在沒有用戶交互的情況下重新安裝客戶端應(yīng)用程序，Web服務(wù)器仍將保留在主機Mac上。

根據(jù)Leitschuh的報告，以及來自媒體機構(gòu)的密切關(guān)注，Zoom決定在星期二的緊急更新中修補漏洞。作為更新的一部分，Zoom承諾刪除本地主機服務(wù)器，并提供一個選項，以完全卸載應(yīng)用程序的所有殘余，而無需通過終端。

Apple周三選擇通過自己的工具刪除服務(wù)器。根據(jù)該報告，顯然已經(jīng)將Zoom更新通知了Mac更新。

“我們很高興與App??le合作測試此更新。我們預(yù)計今天將解決網(wǎng)絡(luò)服務(wù)器問題，”Zoom發(fā)言人Priscilla McCarthy告訴TechCrunch。“我們感謝用戶的耐心，因為我們將繼續(xù)努力解決他們的問題。”

Apple通常會保留靜默的自動Mac操作系統(tǒng)更新，以解決嚴(yán)重的惡意軟件問題或以其他方式增強用戶安全性 該機制很少部署為針對特定的第三方應(yīng)用程序，但該公司告知TechCrunch這個特定的修復(fù)程序是為了保護用戶免受Zoom公開的Web服務(wù)器的攻擊。