Zoomの注釈機能に脆弱性、リモートコード実行などの恐れ。AI活用で発見に1日かからず

　Web会議サービス「Zoom」の注釈機能に存在する脆弱性を、AIがあっという間に見つけ出した。A Securityは8月11日、Zoomのクライアントアプリに存在する脆弱性を報告した。リモートコード実行やサービス拒否攻撃につながる恐れがあるという。なお、ベンダーには6月に開示済みで、すでにパッチの提供も始まっている。

　今回報告されたのは、注釈機能に使われるライブラリ「libannotate.so」に存在する脆弱性。Zoomでは、描画やスタンプといった注釈を、その内容を示すメモリ上のオブジェクトにシリアライズして送信し、受信側でデシリアライズする仕組みを採用している。ここで、受信側は送られてきたデータを自動的にパースする仕様となっているという。

　攻撃者はこれを悪用し、会議の参加者すべてに対して悪意あるデータを送り込むことで、ゼロクリックでのリモートコード実行やサービス拒否攻撃を行なえるという。

　今回発見された脆弱性は、CVE-2026-53413(バッファオーバーライト)、CVE-2026-53414(バッファオーバーリード)、CVE-2026-53415(任意のメモリ書き込み)の3件。影響を受けるのは、バージョン7.0.5以前のWindows/macOS/iOS/Android/Linux版Zoomクライアント、バージョン7.1.5または7.0.6より前のZoom Workplaceクライアント。Zoomでは、いずれの場合も対策が施された最新版へアップデートするよう呼びかけている。

　またA Securityでは、今回の脆弱性発見にAIが活用されたことにも言及。公開済みの商用AIモデルを用いて、24時間かからず3件の脆弱性を見つけられたと説明した。作業全体を通じて用いられたプロンプトは20回未満だったという。