อัปเดตด่วน ! พบช่องโหว่ความปลอดภัยบน Zoom มากถึง 5 ตัว เสี่ยงข้อมูลรั่วไหล

Zoom นั้นเรียกได้ว่าเป็นแอปพลิเคชันสำหรับการประชุมงาน และสัมภาษณ์ออนไลน์ ที่ได้รับความนิยมตั้งแต่ช่วงโควิด ถึงความนิยมจะตกลงไปแต่ก็ยังใช้กันมากอยู่ จากข่าวนี้ผู้ใช้งานอาจต้องเร่งตรวจสอบด่วนว่าอัปเดตเรียบร้อยแล้วหรือยัง

รายงานจากเว็บไซต์ Cyber Security News ได้รายงานถึงการที่ทาง Zoom ได้ออกมาประเภทเปิดเผยถึงการมีอยู่ของช่องโหว่บน Zoom Client (แอปสำหรับการใช้งาน Zoom บนเครื่องของผู้ใช้งานทั่วไป) ในช่วงวันที่ 11 มีนาคม ที่ผ่านมา โดยช่องโหว่ดังกล่าวนั้นมีมากถึง 5 ตัวด้วยกัน ซ้ำร้ายช่องโหว่ดังเหล่านั้นยังส่งผลกระทบครอบคลุมทั้งเวอร์ชัน Desktop (บนคอมพิวเตอร์), Mobile (สำหรับโทรศัพท์มือถือ), และ Workplace (เวอร์ชันสำหรับการใช้งานเชิงธุรกิจ) อีกด้วย โดยช่องโหว่ดังกล่าวนั้นมีดังนี้

Heap-Based Buffer Overflow (CVE-2025-27440)

ช่องโหว่รูปแบบนี้จะถูกเปิดออกเมื่อมีการเขียนข้อมูลในส่วนของ Buffer ของหน่วยความจำในระดับที่มากล้นจนเกินไป นำไปสู่เหตุการณ์ Buffer Overflow ซึ่งอาจเกิดจากการที่แฮกเกอร์ใช้การยิงแพ็กเก็ตที่ถูกสร้างขึ้นมาโดยเฉพาะมายังตัวแอป ซึ่งแฮกเกอร์สามารถนำไปใช้ในการยิงโค้ดอันตราย เช่น โค้ดมัลแวร์ต่าง ๆ ไปยังระบบที่รัน Zoom ในเวอร์ชัน Workplace, Windows, และ macOS ได้ 

Buffer Underflow (CVE-2025-27439)

ช่องโหว่นี้จะตรงกันข้ามกับช่องโหว่ข้างต้น โดยจะเกิดจากการที่ตัวแอปอ่านข้อมูลบนหน่วยความจำในส่วนของ Buffer มากกว่าข้อมูลที่ถูกบรรจุไว้ในส่วนนี้ จนเกิดภาวะ Buffer Underflow จนนำไปสู่การที่ตัวแอปค้าง หรือ เปิดเผยข้อมูลสำคัญที่ถูกบันทึกอยู่บนหน่วยความจำได้

โดยแฮกเกอร์จะสามารถนำเอาช่องโหว่นี้ไปใช้ในการทำ DoS (Denial-of-Service) เพื่อทำให้ระบบค้าง หรือทำการขโมยข้อมูลจากความจำของแอปได้

Use-After-Free (CVE-2025-0151)

เป็นช่องโหว่ประเภทที่จะเกิดขึ้นเมื่อตัวแอปพลิเคชันทำการ “คาย” พื้นที่หน่วยความจำที่ใช้อยู่ออกมา โดยในที่นี้ เป็นช่องโหว่ที่เกิดขึ้นหลังจากที่ตัวแอปพลิเคชัน  Zoom ถอนการจองพื้นที่หน่วยความจำ (Deallocated) ส่งผลให้หน่วยความจำทำงานผิดเพี้ยน (Memory Corruption) ส่งผลทำให้แฮกเกอร์สามารถใช้พื้นที่หน่วยความจำที่ว่างอยู่นั้นในการรันโค้ดที่ไม่ได้รับอนุญาต, ใช้ในการขโมยคีย์เข้ารหัสที่ใช้ในการประชุม หรือแม้แต่ใช้ในการขโมยรหัสผ่านได้

การจัดลำดับพฤติกรรมการทำงานที่ไม่ถูกต้อง บน iOS Workplace Apps (CVE-2025-0150)

ช่องโหว่นี้จะขึ้นบน Zoom Workplace เวอร์ชันสำหรับการใช้งานบน iOS ซึ่งเป็นการจัดลำดับของการตรวจสอบความปลอดภัย (Security Check) ไว้ผิดลำดับ ทำให้แฮกเกอร์นำมาใช้ในการเข้าขโมย Token สำหรับการยืนยันตัวตน หรือ ขโมยข้อมูลการประชุมที่อยู่ในรูปแบบ Metadata ก่อนที่จะแอปจะทำการตรวจสอบความถูกต้อง (Validation) เสร็จเรียบร้อยได้

Insufficient Data Verification (CVE-2025-0149)

ช่องโหว่ในการตรวจสอบความถูกต้องของข้อมูลทำได้ไม่ดีเพียงพอนี้ จะเปิดช่องให้แฮกเกอร์ที่ไม่มีสิทธิ์ในการส่งข้อมูลเข้าสู่ตัวระบบ สามารถส่งข้อมูลแพ็กเก็ตเข้าสู่ระบบเพื่อทำ DoS ได้

รุ่นที่ได้รับผลกระทบ

• Zoom Desktop Clients สำหรับ Windows, macOS, และ Linux (เวอร์ชันก่อนหน้า 5.15.5 / 6.2.0)
• Zoom Mobile Apps สำหรับ Android และ iOS (เวอร์ชันก่อนหน้า  5.15.5)
• Zoom Meeting SDK และ VDI Clients (เวอร์ชันก่อนหน้า  5.14.12).

ซึ่งการอุดช่องโหว่ทำได้โดยง่าย เพียงแค่ผู้ใช้งานทำการอัปเดต Zoom ขึ้นเป็นเวอร์ชันที่กำหนด หรือเวอร์ชันใหม่ล่าสุดที่สามารถอัปเดตได้ในปัจจุบัน ปัญหาและความเสี่ยงต่าง ๆ ก็จะหมดไป