Sant'XMPP, contrabbandiere di stanze

Patrono dei parser XML che non vanno d'accordo, delle videochiamate e dei messaggi con un doppio fondo.

Vita

Nel febbraio 2022 Ivan Fratric di Google Project Zero segnalò a Zoom che client e server leggevano lo stesso XML in modi diversi. Infilando caratteri scelti in un messaggio di chat, si poteva far uscire dal messaggio una stanza XMPP intera, che il client della vittima prendeva per un ordine del server: fino a dirottarlo verso un server malevolo e fargli installare una versione vecchia. Zoom corresse tutto nella 5.10.0; i dettagli divennero pubblici il 24 maggio 2022.

Preghiera

O Sant'XMPP, che nascondi un messaggio dentro l'altro, fa' che client e server parlino lo stesso XML. Amen.

Come si festeggia

Si festeggia aggiornando Zoom oltre la 5.10.0 e controllando che due parser diversi non leggano mai lo stesso documento.

Due parser, due verità: e l'attaccante sceglie la sua.