Zoom Annotation Parser – Zero-Click Remote Code Execution

Beschreibung

Der Annotation-Parser von Zoom liest eine Längenangabe aus dem Netzwerkstrom und kopiert die doppelte Anzahl Bytes ohne Grenzprüfung in einen festen 128-Byte-Puffer. Dadurch kann jeder Teilnehmer eines Meetings den Speicher der Clients aller anderen Teilnehmer beschädigen, ohne dass diese eine Aktion ausführen müssen (Zero-Click). Behoben in Zoom Workplace 7.1.5 und 7.0.6, VDI 7.0.11 und 6.6.16 sowie Rooms und Meeting SDK 7.1.5. Die Lücke wurde durch das Forschungsteam „A Security“ gefunden, an Zoom gemeldet und gemeinsam mit dem Hersteller behoben. Empfohlene Massnahme: auf die genannten gepatchten Versionen aktualisieren. (manuell erfasst)

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Zoom

• CVE-2018-10661 – Axis Sicherheitslücke CVE-2018-10661
• CVE-2018-10660 – Axis Sicherheitslücke CVE-2018-10660
• CVE-2018-10662 – Axis Sicherheitslücke CVE-2018-10662
• Zoom für Windows: Kontoübernahme durch fehlerhafte Eingabeprüfung CVE-2026-53412
• Zoom Workplace für Windows – Privilege Escalation via External File Path Control CVE-2026-30903
• Zoom Clients für Windows – Rechteausweitung über unsicheren Suchpfad CVE-2025-49457