Zoom heeft meerdere kwetsbaarheden in de Zoom Clients en de Zoom VDI‑client verholpen. De problemen zaten vooral in de annotatiefunctie die tijdens schermdeling wordt gebruikt. Daarin ontbrak op sommige plekken een strikte grenzencontrole, waardoor een bufferoverschrijding kon ontstaan. In het ergste geval kon een externe deelnemer via het netwerk willekeurige code uitvoeren op het apparaat van een andere deelnemer. Een tweede fout in dezelfde annotator veroorzaakte juist een buffer over‑read, met kans op crashes en uitval van een meeting (denial‑of‑service). Tot slot is een use‑after‑free in de annotator gedicht, opnieuw met het risico dat een aanvaller op afstand code kan uitvoeren op systemen van andere deelnemers.

Ook de Zoom VDI‑client en de bijbehorende plugins kregen een update. Hier zat een path traversal‑kwetsbaarheid die misbruikt kon worden door een geauthenticeerde gebruiker met lokale toegang. Door gebrekkige validatie van paden kon iemand bestanden buiten de bedoelde directorystructuur benaderen en zo mogelijk bij gevoelige gegevens komen. Eerder werd een soortgelijke path traversal in de Windows‑clients en VDI‑omgevingen onder het kenmerk CVE‑2023‑43586 opgelost; dat illustreert hoe belangrijk strikte padvalidatie is in deze stack. (nvd.nist.gov)

Waarom dit ertoe doet

• Annotaties worden live verwerkt terwijl meerdere deelnemers tegelijk tekenen, wissen en markeren. Dat betekent veel binnenkomende data, parsers en geheugenbewerkingen: precies de plekken waar bufferfouten en use‑after‑free’s kunnen ontstaan. Zulke geheugenfouten zijn klassiek, maar in real‑time samenwerkingstools hebben ze extra impact omdat iedereen in dezelfde sessie elkaars client raakt.
• Zoom publiceert maandelijks Security Bulletins en heeft de laatste jaren vaker stevige lekken snel gepatcht. Een voorbeeld is CVE‑2024‑24691 (CVSS 9,6) in de Windows‑clients en VDI‑client; die werd op 13 februari 2024 verholpen. Dit onderstreept dat tijdig updaten essentieel is. (cert.europa.eu)
• Ook in Nederland adviseert het NCSC organisaties om Zoom‑updates snel door te voeren wanneer er kwetsbaarheden zijn gemeld. In 2025 bracht NCSC‑NL daarover een Nederlandstalige waarschuwing uit met onder meer buffer overflows en certificaatvalidatie als aandachtspunt. (advisories.ncsc.nl)

Wat je nu het beste doet

• Update alle Zoom‑installaties. Werk de desktopclients, de VDI‑client én de VDI‑plugins bij. Zoom onderhoudt een compatibiliteitsmatrix en adviseert om eerst de VDI‑hostclient en daarna de plugin te upgraden, zodat media‑offloading en beveiligingsfixes intact blijven. (support.zoom.com)
• Beperk het aanvalsoppervlak in meetings. Als je annotaties niet nodig hebt, zet de optie voor deelnemers uit in de meetinginstellingen. Hosts kunnen dit per sessie regelen. (support.zoom.com)
• Harden je VDI‑omgeving. Controleer beleid rond schijftoegang en bestandsrechten, en zorg dat gebruikers geen onnodige permissies hebben. Dat verkleint de impact als een path traversal of plugin‑kwestie ooit opnieuw opduikt. Richt waar mogelijk ook monitoring in op afwijkend schrijf‑ of leesgedrag in profielen en temp‑mappen.
• Blijf de Security Bulletins van Zoom volgen voor nieuwe versies en CVE’s die jouw platform raken (Windows, macOS, Linux, VDI, SDK’s). Plan reguliere onderhoudsvensters om die updates gecontroleerd uit te rollen. (zoom.com)

De kern: door de nu uitgebrachte patches zijn bekende RCE‑ en DoS‑paden in de annotator gedicht en is een path traversal in de VDI‑stack verholpen. Wie snel bijwerkt, annotaties alleen waar nodig toestaat en VDI‑updates strak beheert, verkleint het risico op verstoring of misbruik aanzienlijk.

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.