LONDON (IT BOLTWISE) – Sicherheitsforscher zeigen eine Angriffsfläche in der Zoom-Annotation, die ohne Klick oder Download funktionieren kann. Entscheidend ist, dass das System für gezeichnete Objekte interne Strukturwerte vertraut, obwohl die Datenursprünge nicht ausreichend geprüft werden. Zoom hat die Lücken bereits mit Updates im Juni und Juli geschlossen, bevor die Details öffentlich wurden. Offen bleibt dennoch, wie weit sich die konkrete Exploit-Klasse in der Praxis ausrollen ließ, weil keine aktive Ausnutzung gemeldet wurde.
Die Meldung trifft Zoom an einer Stelle, die in vielen Unternehmen im Alltag praktisch unsichtbar ist: der Zeichen- und Eingabe-Funktion in Videokonferenzen, über die Teilnehmende direkt auf dem geteilten Bildschirm markieren. Laut Analyse lag der Kern des Problems nicht in einem klassischen Download oder in einer Interaktion, sondern in der Art, wie das Zoom-Client-Programm die von einer anderen Sitzposition kommenden Annotationen in eine strukturierte Objektform umsetzt. Der Ablauf wirkt dabei wie eine Designentscheidung: Ein gezeichnetes Objekt wird als Folge von Zahlen übermittelt, und der Empfänger entscheidet, anhand dieser Zähler, wie viel er lesen soll. Genau an dieser Vertrauensannahme setzt der Angriff an.
Technisch wird das Risiko in drei getrennte Schwachstellen zerlegt, die jeweils eine andere Speicherfehlerklasse abdecken. Zoom führt dafür die CVEs CVE-2026-53413 mit CVSS 8,3 als Buffer-Overwrite, CVE-2026-53414 mit CVSS 6,5 als Buffer-Overread sowie CVE-2026-53415 mit CVSS 8,3 als Use-after-free. Dazu kommen Zuordnungen zu den Zoom-internen Sicherheitsregeln ZSB-26015 bis ZSB-26017. Interessant ist dabei der Detailgrad in der Komposition: Der Overwrite-Fehler entsteht in einem fest dimensionierten 128-Byte-Puffer, in den Daten übernommen werden, ohne dass geprüft wird, ob die übermittelte Menge überhaupt hineinpasst. Weil dieser Zähler im Objekt am Ende liegt, kann ein zu großer Wert über das Pufferende hinaus bis in die Return-Adresse laufen. Beim Overread-Fehler geht es dagegen darum, uninitialisierten Heap-Speicher auszulesen – also um Informationen, die sonst nicht beabsichtigt waren, etwa Heap-Metadaten oder Zeigerstrukturen.
Damit die manipulierte Annotation die gesamte Konferenz betrifft, greifen die Forscher ein weiteres Kettenglied an: Es fehlt eine belastbare Prüfung, ob eine Nachricht wirklich von dem Absender stammt, der zu dem erwarteten Sitzplatz gehört. Im Zoom-Setup existieren Kanäle zwischen Zuschauern und der Person, die den Bildschirm teilt; zusätzlich existiert ein Pfad, über den Rückmeldungen (Acknowledge-Signale) fließen sollen. In den analysierten Pfaden liest ein Dispatcher einen Typwert direkt von der Leitung und routet die Nachricht dann zu einem passenden Parser, ohne abzugleichen, welcher „Seat“ (also welcher Kanal/Absender) die Nachricht tatsächlich repräsentiert. Ein Beispiel aus der Beschreibung macht den Mechanismus greifbar: 0x10001 signalisiert „hier ist ein Objekt“, 0x10002 „ich habe dein Objekt empfangen“. Werden diese Zuordnungen durcheinandergebracht, baut der Client beim Opfer ein komplettes Objekt anhand der falschen, aber akzeptierten Strukturwerte neu.
Für Administratoren sind die Patch-Informationen besonders relevant, weil Zoom die Fixes offenbar bereits Monate vor der öffentlichen Diskussion ausgeliefert hat. Den Angaben zufolge haben Client-Updates im Juni und Juli die betroffenen Versionen geschlossen. Konkret nennt Zoom für „Zoom Workplace“ je nach Code-Branch unterschiedliche Schwellen: vor 7.1.5 auf der einen Linie und vor 7.0.6 auf der anderen; für „Zoom Workplace VDI Client for Windows“ vor 7.0.11 beziehungsweise 6.6.16; bei „Zoom Rooms“ und „Zoom Meeting SDK“ in allen Plattformen vor 7.1.0 für die meisten Punkte sowie vor 7.1.5 für die dritte Schwachstelle. Für die Praxis heißt das: Wer nur einzelne Desktop-Clients im Blick hat, aber nicht die Room- oder SDK-Komponenten aktualisiert, lässt möglicherweise genau den Teil offen, über den Annotationen im Raum- oder Integrationsbetrieb verarbeitet werden.
Die Einordnung im Vulnerability-Ökosystem zeigt außerdem, wie unterschiedlich Bewertungslogik ausfallen kann. Zoom führt die drei Lücken in Summe unter einer höheren Gesamtpunktzahl von 9,0 nach einem CVSS 4.0-Schema zusammen, während die Ausgangswerte in den beschriebenen Bulletins getrennt niedriger wirken. Zusätzlich markieren die Vendor-Vektoren laut Text zwar eine erforderliche Nutzerinteraktion – was im Widerspruch zur „Zero-Click“-Erzählung steht. In der Differenz steckt ein klassisches Problem solcher Analysen: „Keine Interaktion“ kann bedeuten, dass der Angreifer keinen gesonderten Klick auslösen muss, aber dennoch erfolgt die Verarbeitung innerhalb eines laufenden Meetings, sobald die Zielperson in die Sitzung eingebunden ist. Laut Beschreibung wurden keine Ausnutzungen gemeldet, und in den genannten Quellen tauchen die drei Kennungen nicht im Katalog der „Known Exploited Vulnerabilities“ auf.
Besonders kontrovers ist die Frage, wie schnell sich die Exploit-Klasse überhaupt entwickeln lässt – und welche Rolle KI-gestütztes Vorgehen dabei gespielt haben soll. Die Forschenden führen ihre Resultate auf „A Security“ zurück, ein israelisch gegründetes Offensive-Security-Startup, das nach eigener Darstellung im Juni aus dem Stealth-Modus kam und 37 Millionen US-Dollar eingeworben haben soll. Das Unternehmen berichtet, es sei „von der Schwachstelle zum funktionierenden Exploit in unter einem Tag“ gekommen und habe dafür weniger als 20 Prompts auf öffentlich verfügbaren KI-Modellen verwendet. Gleichzeitig bleibt die Nachprüfbarkeit eingeschränkt, weil der Bericht kein konkretes Modell nennt und die detaillierte Interna auf Reverse Engineering beruhen, während Zoom selbst keine technischen Details veröffentlicht habe. Bei der Analyse der Angriffsoberfläche wird zudem beschrieben, dass ein erster automatisierter Ranking-Ansatz zunächst eine Bibliothek übersehen habe: 3.762 Funktionen über 70 Bibliotheken seien gesichtet worden, die vulnerable Bibliothek dann nur als Rang 45 wieder aufgetaucht, bevor die Experten die Laufzeitpfade in einer echten Sitzung Schritt für Schritt nachverfolgten.
Am Ende spitzt sich die technische Debatte auf die Frage zu, wie viel sich aus der Kombination von Speicherfehlern und Parsing-Vertrauen praktisch ableiten lässt. Der Use-after-free-Teil wird in der Darstellung mit dem Ziel verknüpft, uninitialisierten Heap-Speicher aus einem Client zu gewinnen, der noch „live“ Code und vtable-Pointer hält – Informationen, die als Baustein für Randomization-Bypasses gelten. Gleichzeitig weist die Darstellung darauf hin, dass die Schwachstelle als potenzieller Denial-of-Service in Betracht gezogen wird, während die Vertraulichkeits-Auswirkungen im Text als nicht vorhanden bewertet werden. Für Unternehmen ist das weniger eine theoretische Fußnote: Der sicherste Weg bleibt, die genannten Zoom-Produktlinien konsequent innerhalb der Release-Slots zu patchen und auch Meeting-SDK- und Room-Umgebungen nicht aus dem Update-Zyklus auszuklammern.
Die Meldung ordnet sich daneben in eine breitere Entwicklung rund um „KI und Cyber-Sicherheit“ ein. Der Text verknüpft die Offenlegung mit einer Produktstrategie eines KI-Anbieters, der eigene Modellfähigkeiten für „offene“ Nutzung stärker begrenzt haben will und dafür eine eingeschränkte Variante für besonders qualifizierte Partner vorsieht. Genau diese Gegenüberstellung spielt für die Aussage „die Barriere ist zusammengebrochen“ eine Rolle: Wenn ein öffentlicher, erlaubter Modellzugang bereits ausreicht, um komplexere Exploit-Ketten zu konstruieren, verändert das die Erwartungshaltung an Risiko-Modelle in der Softwareentwicklung. Unabhängig davon bleibt der harte technische Befund der zentrale Punkt: Sobald ein Client strukturierten Nutzdaten vertraut und dabei Absenderzuordnung sowie Puffergrenzen nicht robust prüft, reicht schon eine scheinbar harmlose Zeichenfunktion, um eine ganze Sitzung zu kompromittieren.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Zoom-Attacke über Annotation: Zero-Click-Ausnutzung und gepatchte CVEs im Detail" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Zoom-Attacke über Annotation: Zero-Click-Ausnutzung und gepatchte CVEs im Detail" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Zoom-Attacke über Annotation: Zero-Click-Ausnutzung und gepatchte CVEs im Detail« bei Google Deutschland suchen, bei Bing oder Google News!