Zoom Workplace: Pufferüberlauf in Zoom Phone ermöglicht Rechteausweitung
Zusammenfassung
Ein Pufferüberlauf (CWE-120) im Feature Zoom Phone der Zoom-Workplace-Clients kann es einem Angreifer mit Netzwerkzugriff ermöglichen, seine Rechte auszuweiten. Das Zoom-Advisory beschreibt einen nicht authentifizierten Angreifer, der CVSS-Vektor verlangt jedoch niedrige Privilegien und eine Benutzerinteraktion, weshalb die tatsächliche Voraussetzung unklar ist. Das Risiko betrifft vor allem Endgeräte, auf denen Zoom Phone verwendet wird.
Betroffen
- Zoom Workplace auf allen unterstützten Plattformen (Windows, macOS, Android, iOS) vor 7.2.0
- Nur relevant, wo das Feature Zoom Phone genutzt wird
- Zoom VDI und Meeting-SDK-basierte Apps: nicht verifiziert
Behoben in
- Zoom Workplace 7.2.0 oder neuer
- Korrektur für den 7.1-Zweig: unbestätigt. Eine Pressequelle nennt 7.1.9, Zoom hat dies in seinem Advisory jedoch nicht bestätigt.
Umgehung
Unbekannt. Es ist kein Workaround dokumentiert. Zoom empfiehlt, auf die neueste Version zu aktualisieren.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn.
- Nicht im CISA-KEV-Katalog aufgeführt.
- EPSS 0.00252 (Daten von Rapid7).
- Kein öffentlicher Proof of Concept bekannt.
- Gemeldet von Kasif Dekel von Neo Security.
Unsere Empfehlung
- Zoom-Workplace-Versionen auf allen Endgeräten inventarisieren, inklusive VDI.
- Auf Zoom Workplace 7.2.0 oder neuer aktualisieren, Endgeräte mit aktiviertem Zoom Phone priorisieren.
- Zoom-Advisory ZSB-26020 und den NVD-Eintrag auf die bestätigte Voraussetzung und allfällige zweigspezifische Korrekturen prüfen.
- Herstellerupdates und Berichte über Ausnutzung beobachten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Zoom Security Bulletin ZSB-26020 www.zoom.com
- Zoom Security Bulletin index www.zoom.com
- CVE record summary (threatint) cve.threatint.com
- Vulners CVE-2026-53420 vulners.com
- Vulners CVELIST record (CNA platforms) vulners.com
- Cyberpress: Zoom patches four high-severity vulnerabilities cyberpress.org
- SecurityOnline: Zoom Workplace vulnerabilities October 2026 securityonline.info
- Strix CVE-2026-53420 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 21:26.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.