Уязвимость Zoom «Zoomsday» нашли через ИИ: хватило 20 промптов

Компания Zoom закрыла опасную уязвимость, получившую название «Zoomsday». Она позволяла злоумышленнику, подключившемуся к конференции, выполнить произвольный код на устройстве жертвы — украсть данные, включить камеру или микрофон, установить вредоносное ПО.

Проблема крылась в функции аннотации, которая даёт участникам рисовать на общем экране. Атака не требовала никаких действий от пользователя: достаточно было присоединиться к встрече или быть её ведущим.

Обнаружили уязвимость исследователи компании A Security. Они использовали общедоступные ИИ-модели и задали им менее 20 запросов, чтобы найти способ эксплуатации. Zoom уже выпустил патч, пользователям рекомендуется обновиться.