Zoom: Windows-Clients ermöglichen Angriffe aus dem Netz

Zwei Sicherheitslücken meldet Zoom in den Windows-Clients. Sie ermöglicht Angreifern aus dem Netz ohne vorherige Anmeldung, ihre Rechte auszuweiten. Das Unternehmen stellt Aktualisierungen zur Verfügung, die die Schwachstellen ausbessern.

Die schwerwiegendere Sicherheitslücke stuft Zoom als kritische Bedrohung ein. Laut Sicherheitsmeldung von Zoom geht sie auf einen nicht vertrauenswürdigen Suchpfad zurück. „Das kann nicht authentifizierten Nutzern ermöglichen, eine Ausweitung ihrer Rechte über Netzwerkzugriffe auszuführen“, erörtern die Entwickler des Unternehmens dort (CVE-2025-49457 / EUVD-2025-24529, CVSS 9.6, Risiko „kritisch„). Details dazu, wie Angriffe aussehen könnten, nennen sie hingegen nicht.

Mittelschwere Schwachstelle

Zudem haben die Entwickler eine Race Condition in der Software ausgebügelt. Etwas verschwurbelt formuliert Zoom in der zugehörigen Sicherheitsmitteilung, dass nicht authentifizierte Nutzer diese Schwachstelle im Installer bestimmter Zoom-Client für Windows die „Integrität mit lokalem Zugriff beeinflussen“ können (CVE-2025-49456 / EUVD-2025-24528, CVSS 6.2, Risiko „mittel„). Auch hier bleibt im Dunkeln, wie Angreifer diese Lücke konkret missbrauchen können.

Die kritische Sicherheitslücke dichtet die Version 6.3.10 von Zoom Workplace for Windows, Zoom Workplace VDI for Windows (hier sind die Versionen 6.1.16 und 6.2.12 nicht anfällig), Zoom Rooms for Windows, Zoom Rooms Controller for Windows und schließlich Zoom Meeting SDK for Windows ab. Die Race Condition bügeln die Versionen Zoom Workplace 6.4.10, Zoom Workplace VDI for Windows 6.3.12 (6.2.15 ist nicht verweundbar), Zoom Rooms und der Rooms Controller for Windows 6.4.5 sowie das Zoom Meeting SDK for Windows 6.4.10 aus.

Die aktuelle Software steht auf der Download-Seite von Zoom zum Herunterladen bereit. Aufgrund des Schweregrads sollten IT-Verantwortliche zeitnah auf die jüngste Fassung der Konferenzsoftware aktualisieren.

Zuletzt fielen im Mai Schwachstellen in Zoom-Webkonferenzsoftware auf. Auch dort konnten Angreifer aufgrund einer Race Condition ihre Rechte im System ausweiten.

(dmk)