概要
Windows版Zoom WorkplaceのVDIクライアントに、攻撃者が影響を受けるシステム上で権限を昇格できる可能性のあるセキュリティ脆弱性が発見されました。この脆弱性はCVE-2025-64740として追跡され、ZSB-25042の速報IDが割り当てられています。CVSSスコアは7.5で、深刻度は「高」と評価されています。
脆弱性の詳細
この脆弱性は、Zoom Workplace VDIクライアントのインストーラーにおける暗号署名の不適切な検証に起因します。具体的には、インストーラーがインストールファイルの正当性を適切に検証せずに実行してしまうというものです。この見落としにより、すでにシステムへのローカルアクセス権を持つ攻撃者が、一般ユーザーアカウントから管理者レベルのアカウントへと権限を昇格させる機会が生まれます。
これは、インターネットからシステムに侵入するリモート攻撃ではなく、攻撃者がすでにターゲットマシンへの認証とローカルアクセスを持っている場合にのみ悪用可能です。しかし、一度侵入されると、この脆弱性を悪用して完全な制御を獲得し、機密データの侵害や組織全体に影響を与えるマルウェアのインストールにつながる可能性があります。
この脆弱性は、Google傘下の主要な脅威インテリジェンス企業であるMandiantのセキュリティ研究者によって発見され、Zoomに報告されました。
影響を受けるバージョンとリスク
以下のバージョン以前のZoom Workplace VDIクライアント for Windowsを使用している組織はリスクにさらされています。
- バージョン 6.3.14
- バージョン 6.4.12
- バージョン 6.5.10
これらの各トラックの以前のすべてのバージョンが影響を受けます。VDI（仮想デスクトップインフラストラクチャ）環境は企業設定において重要であり、この発見はリモートワークやセキュアなコンピューティングに仮想デスクトップを利用している組織にとって特に重要です。CVSSスコア7.5は、この脆弱性の深刻な性質を反映しています。攻撃者が既存のシステムアクセスとユーザーインタラクションを必要とするものの、その潜在的な影響は重大です。攻撃が成功すると、不正な権限昇格が可能になり、攻撃者は昇格された権限で任意のコードを実行したり、制限されたファイルにアクセスしたり、システム整合性を侵害したりする可能性があります。
対策
Zoomはこの脆弱性に対処するためのパッチが適用されたバージョンをリリースしています。組織は、Zoom Workplace VDIクライアントのインストールを利用可能な最新バージョンに直ちに更新する必要があります。Zoomユーザーは、公式のZoomダウンロードセンターから最新のセキュリティアップデートをダウンロードしてインストールできます。
VDI環境を管理するセキュリティチームにとって、このアップデートを優先することは不可欠です。Mandiantの発見とZoomの迅速なパッチリリースは、セキュリティアップデートを常に最新の状態に保つことの重要性を示しています。Windows版Zoom Workplace VDIクライアントを使用している場合は、このアップデートを緊急として扱い、直ちにパッチが適用されたバージョンに更新して、この攻撃ベクトルを排除し、セキュリティ体制を維持してください。