LONDON (IT BOLTWISE) – Zoom hat mehrere Schwachstellen im Annotation-Tool adressiert, die unter bestimmten Bedingungen eine Übernahme des Clients anderer Meeting-Teilnehmer ermöglichen können. Laut den veröffentlichten Informationen reichen dafür offenbar die Teilnahme am Meeting und das Einschalten der Annotation – ohne Click, Download oder sichtbare Hinweise. Die betroffenen Versionen werden mit konkreten Versionsschritten geschlossen; die Patches lagen bereits im Juni und Juli. Offen bleibt der praktische Schweregrad, weil bis zur Veröffentlichung keine Ausnutzung gemeldet wurde.
Das Risiko wirkt auf den ersten Blick paradox: Bei einer Videokonferenz wird selten der Freihand-Zeichen- oder Textmodus als Angriffspunkt erwartet. Genau dort setzt aber die aktuelle Schwachstellenrunde an. Beim Zoom-Annotationstool können Zeichnungen und Texte so verarbeitet werden, dass ein manipuliertes Datenobjekt am Ende nicht nur lokal, sondern bis hin zum Kommunikationskontext der anderen Clients durchschlägt. Entscheidend ist: Die Abfolge verlangt keine Interaktion des Opfers im engeren Sinn wie Klicks oder Downloads, sondern genügt offenbar, um als Teilnehmer im Meeting „in Reichweite“ zu sein. Damit rückt ein Feature, das primär für Moderation, Feedback und gemeinsames Markieren gedacht ist, in den Fokus der Software-Sicherheit.
Technisch lässt sich die Ursache über den beschriebenen Datenweg nachzeichnen: Die Client-Software verwandelt eine Annotation nicht einfach in ein Bild, sondern in ein strukturiertes Objekt. Auf dieser Ebene werden Daten als Sequenzen von Zählern (Counts) und anschließenden Nutzdaten übertragen. Das Empfängersystem vertraut diese Zähler, um zu entscheiden, wie viel gelesen werden soll. In einem der Pfade gibt es dabei eine klassische Schutzlücke: Ein fester 128-Byte-Buffer wird offenbar ohne wirksame Längenprüfung befüllt, sodass ein zu großer Zähler über das Buffer-Ende hinauslaufen kann. Weil dieses Feld außerdem als letztes Bestandteil der Struktur agiert, landet überschüssige Information bis an die Rücksprungadresse – damit verschiebt sich das Problem von „falsche Daten“ hin zu potenziell kontrollierbarer Ausführung.
Noch gravierender wird es durch eine zweite Bedingung in den Kommunikations- und Parsing-Schritten. Laut der Rekonstruktion der Forschenden fehlt eine Prüfung, von welchem Sender ein Nachrichtentyp stammt, obwohl jeder Viewer einen eigenen Kommunikationskanal zum Presenter hält. Der Dispatcher liest den Typ einer Nachricht vom „Wire“ und übergibt ihn anschließend dem passenden Parser, ohne zu verifizieren, zu welchem Sitzplatz beziehungsweise zu welchem Kanal die Nachricht gehört. Die Folge: Wenn ein Nachrichtentyp, der die Existenz eines Objekts signalisieren soll (im beschriebenen Beispiel 0x10001), mit dem Typ verwechselt wird, der eigentlich den Empfang eines anderen Objekts bestätigt (0x10002), kann der Client des Opfers das Objekt in vollständiger Form neu aufbauen. In der Praxis ist genau diese Kombination aus unzureichender Längenvalidierung und fehlender Herkunftsprüfung der Mechanismus, der dafür sorgt, dass eine einzelne fehlerhafte Annotation nicht nur lokal „kaputtgeht“, sondern potenziell den gesamten Meeting-Kontext betrifft.
Zoom ordnet die Probleme konkreten CVEs zu: CVE-2026-53413 wird als Buffer-Over-write mit CVSS 8,3 geführt, CVE-2026-53414 als Buffer-Over-read mit CVSS 6,5. Ergänzt wird das Paket durch CVE-2026-53415 (Use-after-free) ebenfalls mit CVSS 8,3; zudem sind die Fälle jeweils in bestimmten ZSB-Bulletins abgedeckt (ZSB-26015 bis ZSB-26017). Wichtig für Betreiber ist außerdem der Patch-zeitliche Kontext: Client-Fixes sollen bereits im Juni und Juli ausgeliefert worden sein, also rund zwei Monate vor der öffentlichen Diskussion. In den Angaben heißt es ferner, dass zum Zeitpunkt der Veröffentlichung keine Ausnutzung berichtet wurde und dass keiner der drei Identifier im CISA-Katalog „Known Exploited Vulnerabilities“ gelistet sei. Für IT-Teams heißt das zugleich: Das Problem ist real genug, um frühzeitig gefixt worden zu sein, aber die öffentliche Beweislast für „wurde aktiv ausgenutzt“ bleibt bislang aus.
Bei der Bewertung gibt es zudem Reibungspunkte, die in Unternehmens-Entscheidungen oft untergehen. Zoom führt die drei Vektoren mit einer jeweils erforderlichen User-Interaktion, während die öffentliche Darstellung eher „zero-click“-artige Rahmenbedingungen nahelegt. Auch die Schweregrade wirken uneinheitlich: Die Forschenden berichten für die jeweiligen CVEs über unterschiedliche Scoring-Zahlen und nennen zudem, dass die eigene Rating-Skala höher ausfalle als die Vendor-Angaben. Besonders relevant für die Angriffsrealität ist dabei die Frage, welche Art von Memory-Resultaten tatsächlich gewonnen werden kann. In der Argumentation wird für den Over-read-Fall beschrieben, dass dabei uninitialisierte Heap-Speicherbereiche aus einem Client-Kontext mit noch „lebendem“ Code und sogenannten vtable-Pointern rekonstruiert werden könnten. Genau diese Art Material wird in vielen Exploit-Ketten genutzt, um Adressrandomisierung (ASLR) in der Praxis besser zu umgehen.
Der dritte Strang der Geschichte betrifft nicht den Codepfad, sondern den Entwicklungsprozess: Die Forschungsgruppe beschreibt, dass sie für die Erstellung eines funktionsfähigen Exploits nur einen Tag und weniger als 20 Abfragen auf öffentlich zugänglichen KI-Modellen benötigt habe. Ein Detail bleibt dabei offen, weil der technische Write-up die verwendeten Modelle nicht nennt und der Vendor in seiner eigenen Einschätzung Teile davon relativiert. Unabhängig davon ist der Kern für Teams, die KI in Security-Workflows beobachten, klar: Der Engpass verschiebt sich weg von „langwieriger Reverse Engineering“ hin zu „wie schnell lässt sich aus einer großen Codebasis die richtige Angriffsfläche ableiten“. Aus Industry-Sicht erinnert das an frühere Wellen, in denen Automatisierung die Exploit-Suche beschleunigt hat, nur dass die KI-Komponente hier stärker auf das Query-to-Outcome-Prinzip fokussiert zu sein scheint.
Für die Praxis folgen aus der Meldung vor allem zwei Prioritäten. Erstens: Zoom-Installationen und Integrationen sollten gezielt auf die genannten Versionsstände geprüft und aktualisiert werden. Betroffen sind demnach Zoom Workplace (je nach Branch vor 7.1.5 bzw. 7.0.6), der Zoom Workplace VDI Client für Windows (vor 7.0.11 bzw. 6.6.16) sowie Zoom Rooms und der Zoom Meeting SDK (vor 7.1.0 bzw. vor 7.1.5 für einen dritten Fall). Zweitens: Weil das Risiko am Annotation-Feature hängt, sollten Admins in der Übergangsphase die Nutzung im Meeting-Umfeld kontextualisieren – etwa durch klare Regeln für externe Teilnehmer und durch ein Monitoring auffälliger Annotation-Aktivitäten, soweit das in deren Betriebsmodellen möglich ist. In Summe zeigt der Vorfall, wie sehr sich die Angriffsfläche in Kollaborationstools von „klassischen“ Interaktionen löst und in scheinbar alltägliche UI-Funktionen wandert.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Zoom: Annotation-Tool-Bugs könnten Sitzungen kapern – Fixes seit Juni/Juli" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Zoom: Annotation-Tool-Bugs könnten Sitzungen kapern – Fixes seit Juni/Juli" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Zoom: Annotation-Tool-Bugs könnten Sitzungen kapern – Fixes seit Juni/Juli« bei Google Deutschland suchen, bei Bing oder Google News!