a
IMBAUAN KEAMANAN ZOOM CLIENT
(CVE-2022-22784, CVE-2022-22785)
Senin, 23 Mei 2022
Ringkasan Eksekutif
1. Pada Selasa, 17 Mei 2022, Zoom mengeluarkan imbauan mengenai kerentanan
Improper XML Parsing in Zoom Client for Meetings dan Improperly Constrained
Session Cookies in Zoom Client for Meetings.
2. Kerentanan ini dideskripsikan pada CVE-2022-22784 sebagai kerentanan yang
memiliki dampak High dan CVE-2022-22785 sebagai kerentanan yang memiliki
dampak Medium.
3. Mengingat dampak yang mungkin muncul dari eksploitasi kerentanan ini, diharapkan
pengguna dari produk terdampak ataupun pengguna pemerintah dan publik lainnya
untuk segera melakukan tindakan-tindakan mitigasi yang dijelaskan pada imbauan
keamanan ini.
Pendahuluan
Zoom adalah Aplikasi yang digunakan untuk melakukan pertemuaan secara daring untuk
keperluan konferensi, webinar, ataupun live chat. Pada tanggal 17 Mei 2022, Zoom
mengeluarkan imbauan mengenai kerentanan Improper XML Parsing in Zoom Client for
Meetings untuk CVE-2022-22784 dan Improperly Constrained Session Cookies in Zoom
Client for Meetings untuk CVE-2022-22785. Kerentanan ini ditemukan pada Zoom client.
Pada CVE-2022-22784, melakukan manipulasi dengan input yang tidak diketahui yang
dapat menyebabkan kerentanan eskalasi pada hak isimewa. Sedangkan pada CVE-202222785, memengaruhi kode yang tidak diketahui dari komponen Session Cookie Handler.
Rincian teknis untuk melakukan eksploitasi tidak dipublikasikan secara publik.
Nilai Kerentanan
Berdasarkan CVSS 3.1, kerentanan ini memiliki nilai dan 8.1 yang dideskripsikan dengan
CVE-2022-22784 dan dikategorikan sebagai HIGH nilai 5.9 yang dideskripsikan dengan
CVE-2022-22785 dan dikategorikan sebagai MEDIUM:
Dokumen/Informasi ini dapat disebarkan secara bebas (Disclosure is not limited)
Halaman 1 dari 3
TLP : WHITE
Gambar 1. Base Score untuk Kerentanan CVE-2022-22874
Vector String (CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:L)
Gambar 2. Base Score untuk Kerentanan CVE-2022-22875
Vector String (CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:L)
Produk Terdampak
Produk yang terdampak oleh CVE-2022-22784 yaitu Zoom Client for Meetings (Android,
iOS, Linux, MacOS, dan Windows) sebelum versi 5.10.0 dan CVE-2022-22785 yaitu Zoom
Client for Meetings (Android, iOS, Linux, macOS, dan Windwos).
Detail dan Dampak Kerentanan
Pada 17 Mei 2022, Zoom mengeluarkan imbauan mengenai kerentanan Improper XML
Parsing in Zoom Client for Meetings untuk CVE-2022-22784 dan Improperly Constrained
Session Cookies in Zoom Client for Meetings untuk CVE-2022-22785. kerentanan ini
ditemukan pada Zoom Client yang melakukan manipulasi dengan input yang tidak diketahui
yang dapat menyebabkan kerentanan eskalasi pada hak isimewa dan memengaruhi kode
yang tidak diketahui dari komponen Session Cookie Handler. Kerentanan ini dinilai sulit
untuk dieksploitasi. Hal ini berdampak pada kerahasiaan, integritas, dan ketersediaan.
Kerentanan ini membutuhkan otentikasi sebagai syaratnya.
Dokumen/Informasi ini dapat disebarkan secara bebas (Disclosure is not limited)
Halaman 2 dari 3
TLP : WHITE
Panduan Mitigasi
Untuk melakukan pencegahan terhadap kerentanan CVE-2022-22874 dan CVE-202222875, terdapat beberapa saran yang dapat dilakukan, yaitu melakukan pemutakhiran
terhadap versi Zoom Client for Meeting yang digunakan.
Riwayat Dokumen
Versi Dokumen
Tanggal Rilis
1.0
Senin, 23 Mei 2022
Ketentuan Penggunaan Dokumen
Dokumen Imbauan ini tersedia secara bebas dengan mengakses portal Website IDSIRTII/CC. Terkait penggunaan dokumen imbauan ini, dapat digunakan oleh seluruh pihak
yang menggunakan produk terdampak kerawanan yang diulas pada dokumen imbauan ini.
Referensi
[1]
[2]
[3]
[4]
[5]
“Everything
You
Need
to
Know
About
Using
Zoom"
https://resources.owllabs.com/blog/zoom (accessed May. 23, 2022)
“Zoom Client for Meetings Up to 5.9.x XMPP Message Access Control“
https://vuldb.com/?id.200336 (accessed May. 23, 2022).
“Zoom Client for Meetings Up to 5.9.x Session Cookie Privilege Escalation“
https://vuldb.com/?id.200337 (accessed May. 23, 2022).
“CVE-2022-22784 Detail” https://www.cve.org/CVERecord?id=CVE-2022-22784.
(accessed May. 23, 2022).
“CVE-2022-22785”
https://cve.mitre.org/cgi-bin/cvename.cgi?name=2022-22785.
(accessed May. 23, 2022).
Dokumen/Informasi ini dapat disebarkan secara bebas (Disclosure is not limited)
Halaman 3 dari 3
TLP : WHITE