安芯网盾内存安全周报专栏，希望帮助企业更好的理解内存安全相关问题。让用户更好的认识、发现问题，防止外部入侵等威胁、有效的对系统进行安全设计，以实时防御并终止无文件攻击、0day /Nday攻击、缓冲区溢出攻击、基于内存的攻击等。

谷歌Project Zero团队公布了Zoom上两个0day漏洞的细节（1.21）

谷歌Project Zero的研究人员披露了Zoom客户端和多媒体路由器(MMR)服务器中两个0day漏洞的细节。

详细情况

0day漏洞的细节。攻击者可以利用这些漏洞使服务崩溃，执行恶意代码，甚至泄露内存部分内容。 这两个漏洞CVE-2021-34423和CVE-2021-34424已于2021年11月24日修复，它们是缓冲区溢出信息泄漏漏洞。CVE-2021-34423漏洞是一个缓冲区溢出问题，CVSS评分为9.8分。攻击者可以触发该漏洞来执行任意代码或使服务或应用程序崩溃。研究人员重点分析了用于音频和视频通信的实时传输协议（RTP）流量，发现通过向支持读取不同数据类型的缓冲区发送格式错误的聊天消息可能会触发漏洞，导致客户机和MMR服务器崩溃。

CVE-2021-34424是一个进程内存暴露漏洞，其CVSS评分为7.5分。攻击者触发该漏洞后可能深入到产品内存的任意区域。这个漏洞是由于缺乏NULL检查导致的，从而允许通过网络浏览器加入Zoom会议，进而泄露内存中的数据。

目前这两个漏洞已经得到修复，但Project Zero的专家指出，Zoom的封闭性也严重影响了分析。与大多数视频会议系统不同，Zoom使用的是一种专有协议，因此很难对其进行分析。专家表示，封闭源代码软件带来了独特的安全挑战，Zoom应该让安全研究人员和其他希望对其进行评估的人可以访问他们的平台。

参考链接：

https://securityaffairs.co/wordpress/127016/hacking/zoom-zero-day-vulnerabilities.html