LONDON (IT BOLTWISE) – Zoom hat vier Sicherheitslücken geschlossen und dabei insbesondere eine Zero-Click-Schwachstelle in der Annotationsfunktion adressiert. Betroffen ist die Verarbeitung von Formatierungsinformationen über CAnnoFormatBlock: : Deserialize, die per Netzwerk beliebig große Zeichenmengen entgegennimmt. Laut den Forschern reicht eine speziell präparierte Nachricht aus, um Speicher im Client zu überschreiben und Code auszuführen, ohne dass Nutzer etwas anklicken müssen. Die Patches trafen gestaffelt ab Ende Juni ein, während die Details erst im August öffentlich wurden.
Zoom hat unter dem Namen „Zoomsday“ mehrere Schwachstellen behoben, die sich vor allem an der Annotationsfunktion festmachen lassen. Im Zentrum steht eine Lücke, die laut Sicherheitsfirma A Security ohne Nutzerinteraktion auskommen soll: Über einen direkt zwischen Betrachtendem und Bildschirmfreigebendem Protokollkanal könnten speziell präparierte Daten den empfangenden Client erreichen, während der Anwender „live“ lediglich eine Meeting-Ansicht nutzt. Damit verschiebt sich der Fokus von klassischen Phishing- oder Klickpfaden hin zu einem Angriff, der innerhalb eines laufenden Meetings entsteht und die „Anschauungs“-Komponente des Systems ausnutzt.
Technisch wird die gravierendste Schwachstelle über CVE-2026-53413 beschrieben, eingestuft mit einem CVSS-Wert von 8,3. Sie betrifft eine fehlende Bereichsprüfung in der Funktion CAnnoFormatBlock: : Deserialize, die für die Verarbeitung von Formatierungsinformationen bei Text-Anmerkungen zuständig ist. Auch wenn die Implementierung feste 128-Byte-Puffer verwendet, nimmt die Funktion laut Bericht über das Netzwerk Zeichenmengen entgegen, die „beliebig groß“ sein können. Das schafft die Voraussetzung, dass der vorgesehene Speicherbereich überschrieben wird und daraus eine Speicherbeschädigung mit möglicher Codeausführung entsteht.
Für die praktische Ausnutzbarkeit liefert A Security eine klare Kette: Da jeder Zoom-Client automatisch verarbeitet, was er empfängt, soll bereits eine speziell konstruierte Nachricht ausreichen, um den Speicher des Zielclients zu beschädeln und dort Code laufen zu lassen. Besonders kritisch wird die Kombinationswirkung, weil das diesem Bereich zugrunde liegende Annotator-Protokoll einen direkten Datenkanal zwischen einzelnen Meeting-Teilnehmern öffnet, also nicht nur zwischen „Teilnehmer und Dienst“, sondern zwischen Betrachter und Bildschirmfreigebendem. Dadurch lässt sich ein Angriff gezielt innerhalb eines konkreten Meeting-Szenarios ausrollen, ohne dass der Angreifer darauf angewiesen ist, dass Opfer aktiv eine Datei öffnen oder einen Button drücken.
Daneben nennt die Sicherheitsfirma zwei weitere Annotator-bezogene Lücken: CVE-2026-53414 (CVSS 6,5) soll ebenfalls aus einer fehlenden Bereichsprüfung in derselben Funktion resultieren und beim Opfer einen Absturz auslösen. CVE-2026-53415 (CVSS 8,3) wird als Use-after-free-Fehler beschrieben, wobei A Security zugleich angibt, Zoom habe diese Schwachstelle zum Zeitpunkt der Meldung bereits selbst entdeckt. Bemerkenswert ist außerdem die Forschungsarbeit selbst: Laut Angaben der Forscher entstand ein funktionierender Exploit unter Unterstützung öffentlich verfügbarer KI-Modelle und in weniger als 20 Prompts innerhalb von weniger als 24 Stunden. Genannt werden dabei auch Teilaufgaben wie die Priorisierung interessanter nativer Funktionen sowie die Rekonstruktion des proprietären Annotationsprotokolls.
Beim Patch- und Kommunikationszeitplan fällt auf, dass die Details zwar erst am 11. August öffentlich diskutiert wurden, Zoom aber schon deutlich früher reagiert haben soll. Nach Angaben von A Security erschien ein clientseitiger Patch für die ersten beiden Lücken bereits am 22. Juni in Version 7.1.0; eine serverseitige Abwehrmaßnahme für ältere Versionen folgte am 15. Juli. Den vollständigen Patch für die dritte Lücke (CVE-2026-53415) nennt A Security mit dem Stand 20. Juli in Version 7.1.5. Die Sicherheitsfirma begründet zudem, warum sie die öffentliche Veröffentlichung verzögert habe: Kunden sollten ausreichend Zeit haben, sowohl Client-Patches als auch die serverseitige Abwehr zu erhalten, bevor Details zur Ausnutzung offengelegt werden.
Unterschiedliche Bewertungen zeigen außerdem, wie stark CVSS-Einschätzungen im Detail auseinanderlaufen können. Während A Security durchgehend von einem Zero-Click-Angriff ohne Nutzerinteraktion spricht, vermerkt Zoom in eigenen, offiziellen CVSS-Vektoren für alle drei genannten Annotator-Schwachstellen ausdrücklich eine erforderliche Nutzerinteraktion. Selbst bei CVE-2026-53414 gehen beide Seiten auseinander: Zoom ordnet sie als reinen Denial-of-Service-Fehler ein, ohne Auswirkungen auf Vertraulichkeit; A Security beschreibt sie dagegen als notwendigen Baustein in einer Angriffskette, der bei Kombination mit anderen Komponenten zur Offenlegung von Speicherinhalten beitragen soll.
Zusätzlich zur Annotationsstrecke schließt Zoom noch CVE-2026-53416, eine Path-Traversal-Schwachstelle, die zur Offenlegung von Informationen hätte führen können. Betroffen sind dabei die Windows-Versionen des Workplace-VDI-Clients sowie zugehörige Plugins. Für die praktischen Auswirkungen nennt Zoom-fachnah die betroffenen Produktlinien: Zoom Workplace vor den Versionen 7.1.5 beziehungsweise 7.0.6, Zoom Rooms vor Version 7.1.5 sowie das Meeting SDK vor Version 7.1.5 auf den unterstützten Plattformen. Für Administratoren heißt das vor allem: Aktualisierung nicht auf die nächste „Routine-Window“-Welle schieben, sondern die Zoom-Clients zeitnah auf die jeweils aktuelle Version bringen und dabei insbesondere Workflows rund um Bildschirmfreigabe und Annotationen im Blick behalten.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Zoomsday: Zoom schließt Zero-Click-Schwachstelle in Annotationsfunktion" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Zoomsday: Zoom schließt Zero-Click-Schwachstelle in Annotationsfunktion" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Zoomsday: Zoom schließt Zero-Click-Schwachstelle in Annotationsfunktion« bei Google Deutschland suchen, bei Bing oder Google News!