A windowsos Zoom kliens chat felülete UNC path injection támadások kivitelezésére ad lehetőséget. A sérülékenység oka, hogy chat üzenetek között bármilyen posztolt URL – így az UNC hálózati útvonala is – hiperlinké konvertálódik. Mindez azt jelenti, ha egy felhasználó egy ilyen linkre kattint, a Windows az SMB fájlmegosztási protokollt felhasználva megkísérli elérni a távoli erőforrást, amely a problémát felfedező biztonsági kutató demonstrációjában a cat.jpg nevű fájl. Ennek során a Windows alapértelmezésben elküldi a felhasználó bejelentkezési adatait, azaz a felhasználónevet, illetve a jelszó hash-t, amelyet a támadó így megszerezhet és feltörhet. (Egy egyszerű jelszó esetében például az ingyenes Hashcat nevű jelszó visszafejtő program 16 mp alatt is képes visszafejteni a jelszót.) A biztonsági probléma javításához a Zoomnak meg kell szüntetnie az UNC útvonalak hivatkozássá konvertálását. Amíg ez megtörténik, egy csoportházirend alkalmazásával megakadályozható, hogy az NTLM jelszavak automatikusan elküldésre kerüljenek. A BleepingComputer publikációja a beállítás lépéseit is tartalmazza.
Az videókonferencia szolgáltatások biztonságos használatáról az NBSZ NKI weboldalán itt olvashat.
