Zoomの脆弱性を修正するMac向けセキュリティアップデート、Appleがサイレント配信を開始

ここ数週間、セキュリティ研究者たちによって、ビデオ会議アプリ「Zoom」に起因するMacの複数の脆弱性が明らかにされました。Zoomの技術を利用している「RingCentral」と「Zhumu」の2つのアプリも同様に影響を受けています。これらの脆弱性が公表されたことを受け、Appleはいち早く対応し、Zoom関連の脆弱性に対処するセキュリティパッチの提供を開始しました。

今回のバグは、悪意のあるウェブサイトからの攻撃や深刻なプライバシー侵害のリスクに、Zoomサービスの数百万ものユーザーを晒す可能性があるものでした。Macユーザーにとって朗報なのは、この脆弱性を解消するアップデートが、ユーザーが気づかないうちに自動的にインストールされる点です。

Zoomの脆弱性の原因は何か？

ご存じの方も多いでしょうが、ZoomはmacOS向けのビデオ会議・コミュニケーションアプリです。本来であれば、ビデオ会議を開始する際には、アプリがユーザーの許可を得てからクライアントを起動するはずです。実際、Safari 12ではZoom通話への参加前にユーザーの確認を求める仕様変更が行われたため、ユーザーの同意なしにZoomが自動起動することは一段と難しくなりました。

しかしZoom社は、着信するZoom接続によって起動できるローカルホストのWebサーバーをインストールするという手法で、ユーザーの同意なしに自動接続を可能にしていました。開発元によれば、これは「ユーザー体験上の問題に対する正当な解決策」だったとのことです。

ところが、このローカルWebサーバーは悪意のあるウェブサイトからも利用できることが判明しました。攻撃者はこれを悪用して、任意のZoomチャットに強制的に参加させたり、Macのカメラを勝手に起動したりすることが可能だったのです。

さらに、Zoomチャットへの参加リクエストを繰り返し送信することで、Macに対するサービス拒否（DoS）攻撃を仕掛けることもできました。

この問題が明らかになった後、一部のユーザーはZoomソフトウェアをアンインストールしようとしましたが、それだけでは安全は確保できませんでした。マシン上のローカルWebサーバーは、着信するZoom接続を受け取るたびにZoomアプリを再インストールできてしまうからです。

AppleによるZoom脆弱性の修正

脆弱性の公表を受け、AppleはZoomのローカルホストサーバーを削除し、プライバシー設定を回避できる抜け穴をふさぐアップデートをリリースしました。Zoom側も更新情報を発表し、プライバシー侵害を可能にしていたローカルサーバーの削除に取り組んでいることを明らかにしています。

しかし、すでに世界中の何百万台ものMacにローカルサーバーがインストールされている以上、脆弱性を迅速に解消する役割はAppleが担うことになりました。Zoomは世界で75万社以上の企業や、数百万の一般ユーザーが利用するサービスだからです。

AppleとZoomが提供したパッチにより、Zoomのインストール時にローカルWebサーバーが一緒に導入されることはなくなりました。また、「常にビデオをオフにする」設定を保存できる新しい機能も追加され、ユーザーが手動でオンにするまでビデオが自動的に無効化されるようになっています。Zoomのパッチは、RingCentralおよびZhumuに起因する脆弱性にも対応しています。

Appleのセキュリティパッチを入手する方法

最新のセキュリティパッチを入手するには、安定したインターネット接続が必要です。AppleはZoomの脆弱性に対処するセキュリティアップデートをサイレントに配信しており、ユーザーが気づかないうちにMacへインストールされます。

また、Outbyte macAriesのような信頼できるMacクリーニングツールで定期的にメンテナンスを行うこともおすすめです。マルウェアのスキャン、ジャンクファイルの削除、RAMの最適化などを行うことで、システムを健全な状態に保ち、アップデートがスムーズに適用される環境を整えられます。

ZoomのローカルホストWebサーバーを手動で無効化する方法

アップデートを待たずに、ローカルサーバーを手動で無効化することも可能です。ターミナルを起動し、以下のコマンドを入力してください。

pkill ZoomOpener;rm -rf ~/.zoomus;touch ~/.zoomus &&chmod 000 ~/.zoomus;

続いて、RingCentralを利用している場合は、以下のコマンドも入力します。

pkill "RingCentralOpener";rm -rf ~/.ringcentralopener;touch ~/.ringcentralopener &&chmod 000 ~/.ringcentralopener;

それぞれ入力後にEnterキーを押してください。これにより、Mac上のZoom関連の脆弱性を解消できます。

まとめ

要約すると、ZoomはAppleのプライバシー管理（Zoom通話の受信前にユーザーの同意を求める仕組み）を回避したいがために、セキュリティ制限を迂回できる補助的なソフトウェアを作成しました。その意図しない結果として、DoS攻撃やプライバシー侵害のリスクが生じていたのです。

幸い、AppleとZoomは素早く対応し、それぞれセキュリティアップデートを公開することで被害を未然に防ぎました。アップデートを入手するために必要なのは、安定したインターネット接続だけです。あるいは、Zoomアプリの一部としてインストールされた補助ソフトウェア（ローカルホストサーバー）を手動で削除するという選択肢もあります。

もちろん、Zoomが重大なバグに見舞われるのは今回が初めてではありません。数ヶ月前には、悪意のある第三者がユーザーの画面を操作し、なりすましでメッセージを送信できるバグが発見されましたが、こちらもすでに解決されています。

Zoom関連の脆弱性に対処する今回のMacアップデートについて、どう思いますか？ ぜひコメント欄であなたの考えを共有してください。