CVE-2025-49457

Błąd polega na tym, że aplikacja wyszukuje biblioteki DLL lub inne zasoby wykonywalne w niezaufanych ścieżkach (untrusted search path), co umożliwia podstawienie złośliwego pliku wykonywalnego. Atakujący z dostępem sieciowym może skłonić użytkownika do wykonania działania (UI: Required), które spowoduje załadowanie przez aplikację złośliwego pliku z przejętej lub kontrolowanej ścieżki. Ze względu na zmianę zakresu (Scope: Changed) skutki mogą wykraczać poza sam proces Zoom i oddziaływać na szerszy kontekst systemowy.

Skuteczny atak może pozwolić atakującemu na uzyskanie podwyższonych uprawnień w systemie operacyjnym Windows, a także na naruszenie poufności, integralności i dostępności danych — wszystkie trzy komponenty CIA zostały ocenione jako HIGH.

Należy zastosować patche dostępne u producenta zgodnie z referencjami opublikowanymi w biuletynie bezpieczeństwa Zoom pod adresem https://www.zoom.com/en/trust/security-bulletin/zsb-25030. Zaleca się niezwłoczną aktualizację wszystkich wymienionych komponentów Zoom w środowiskach Windows.

Zoom Meeting Software Development Kit (Windows), Zoom Rooms (Windows), Zoom Workplace Desktop (Windows), Zoom Workplace Virtual Desktop Infrastructure (Windows), Zoom Rooms Controller (Windows) — konkretne wersje wskazane w referencjach producenta (zsb-25030).

Podatność wymaga interakcji użytkownika (UI: Required), co nieco ogranicza możliwość w pełni automatycznego wykorzystania, jednak dostępność przez sieć bez uwierzytelnienia (AV:N, PR:N) oraz efekt zmiany zakresu (S:C) sprawiają, że podatność pozostaje krytyczna.