Zoom vừa phát hành bản cập nhật bảo mật khẩn cấp cho ứng dụng khách Windows và nền tảng Workplace của mình. Đợt cập nhật này nhằm khắc phục nhiều điểm yếu nghiêm trọng, bao gồm một lỗ hổng CVE có thể cho phép kẻ tấn công chiếm quyền điều khiển hoặc thao túng ứng dụng. Người dùng được khuyến nghị mạnh mẽ áp dụng bản vá ngay lập tức để bảo vệ hệ thống khỏi rủi ro bảo mật tiềm tàng.

Zoom phát hành cập nhật bảo mật khẩn cấp: Khắc phục lỗ hổng CVE nghiêm trọng

Bản phát hành bảo mật mới nhất của Zoom bao gồm mười thông báo bảo mật. Chúng tập trung vào các ứng dụng khách Zoom trên Windows và macOS, cũng như nền tảng Workplace.

Trong số các vấn đề được giải quyết, một lỗ hổng CVE trong ứng dụng khách Windows được xếp hạng Critical (Nghiêm trọng). Thêm vào đó, một lỗ hổng khác trong Workplace for Windows trên ARM được xếp hạng High (Cao). Phần còn lại của các vấn đề được đánh giá ở mức Medium (Trung bình).

Chi tiết về lỗ hổng CVE: CVE-2025-49457

CVE-2025-49457: Lỗ hổng Untrusted Search Path trong ứng dụng khách Windows

Vấn đề nghiêm trọng nhất được xác định là CVE-2025-49457, liên quan đến một lỗ hổng CVE loại Untrusted Search Path trong ứng dụng Zoom desktop dành cho Windows.

Kẻ tấn công có quyền truy cập cục bộ có thể khai thác điểm yếu này. Mục đích là để tải mã độc hại từ một thư mục không mong muốn khi ứng dụng Zoom khởi động. Hành vi này dẫn đến nguy cơ chiếm quyền điều khiển ứng dụng và thực thi mã tùy ý trên hệ thống của nạn nhân. Đây là một lỗ hổng CVE cần được ưu tiên vá.

Lỗ hổng này tạo ra một rủi ro bảo mật đáng kể. Nó cho phép kẻ tấn công duy trì sự hiện diện hoặc leo thang đặc quyền cục bộ một cách trái phép.

Các vấn đề bảo mật khác được khắc phục trong bản cập nhật bản vá

Ngoài các lỗ hổng CVE nghiêm trọng đã nêu, bản cập nhật bảo mật này còn giải quyết một loạt các vấn đề có mức độ nghiêm trọng trung bình khác. Các vấn đề này bao gồm:

• Race Conditions: Tình trạng tranh chấp tài nguyên có thể dẫn đến hành vi không mong muốn và mất ổn định hệ thống.
• Improper Authorization: Lỗi ủy quyền không chính xác, cho phép người dùng hoặc quy trình truy cập trái phép vào các tài nguyên.
• Cross-Site Scripting (XSS): Lỗ hổng cho phép kẻ tấn công tiêm mã client-side độc hại vào các trang web được người dùng xem, có thể dẫn đến đánh cắp phiên.
• Buffer Overflows: Lỗi tràn bộ đệm, có thể dẫn đến từ chối dịch vụ hoặc thực thi mã tùy ý, gây nguy hiểm cho Zoom bảo mật.

Các lỗ hổng này ảnh hưởng đến nhiều môi trường khác nhau của Zoom, bao gồm Windows, macOS, iOS, Linux và môi trường VMware Horizon VDI. Việc khắc phục toàn diện các lỗ hổng CVE này là cần thiết.

Hướng dẫn cập nhật bản vá và các khuyến nghị bảo mật

Cách cập nhật bản vá ứng dụng Zoom

Để đảm bảo Zoom bảo mật và bảo vệ cài đặt Zoom của bạn khỏi các lỗ hổng CVE đã biết, hãy thực hiện theo các bước sau:

1. Mở ứng dụng Zoom desktop client của bạn.
2. Nhấp vào ảnh hồ sơ của bạn, thường nằm ở góc trên bên phải của cửa sổ ứng dụng.
3. Chọn tùy chọn “Check for Updates” (Kiểm tra cập nhật) từ menu thả xuống.
4. Làm theo hướng dẫn trên màn hình để tải xuống và cài đặt bản cập nhật bản vá mới nhất.

Để biết thông tin chi tiết và kiểm tra trực tiếp các bản vá mới nhất, bạn có thể tham khảo Bản tin Bảo mật của Zoom.

Tầm quan trọng của việc cập nhật bản vá và các biện pháp phòng ngừa

Zoom nhấn mạnh rằng việc cập nhật bản vá càng sớm càng tốt là yếu tố then chốt để ngăn chặn các cuộc khai thác tiềm ẩn. Mặc dù hiện tại chưa có dấu hiệu cho thấy các lỗ hổng CVE này đã bị sử dụng trong các cuộc tấn công đang diễn ra, nhưng việc trì hoãn cập nhật sẽ kéo dài khoảng thời gian phơi nhiễm của hệ thống trước các nguy cơ nghiêm trọng.

Bằng cách thường xuyên áp dụng các bản cập nhật và tuân thủ các thực hành bảo mật tốt nhất, các tổ chức và người dùng cá nhân có thể duy trì một môi trường cộng tác an toàn hơn. Các biện pháp này bao gồm việc chạy phần mềm với các đặc quyền tối thiểu cần thiết, nhằm giảm thiểu khả năng khai thác các lỗ hổng CVE.

Người dùng cũng cần luôn xác minh tính xác thực của các bản cập nhật. Hãy tải xuống các bản vá trực tiếp thông qua các kênh chính thức của Zoom và tránh các nguồn của bên thứ ba không đáng tin cậy. Điều này giúp đảm bảo Zoom bảo mật được duy trì ở mức cao nhất và giảm thiểu rủi ro bảo mật từ các bản cập nhật giả mạo hoặc phần mềm độc hại.