至少二款取得Zoom技術的白牌Mac版視訊會議app，也有會擅自啟動用戶Webcam的漏洞

繼一周前視訊會議app Zoom傳出有漏洞可讓駭客擅自啟動用戶Web攝影機，又有研究人員發現另二款視訊軟體如RingCentral及中國的矚目（Zhumu）也有類似隱私問題，且有風險的app可能還更多。

Zoom的Mac版用戶端的二項漏洞CVE-2019-13576及CVE-2019-13586，可在用戶連上被嵌入iFrame的任何網站時，讓攻擊者得以遠端啟動電腦的Web攝影機及麥克風，過程中完全不需用戶動手或同意。這是因為Zoom在下載用戶端app時，還暗中下載網頁伺服器和iFrame發生互動。蘋果已經於上周釋出移除Zoom網頁伺服器的Mac更新。

研究人員Karan Lyons發現，取得Zoom技術授權的RingCentral和中國Zhumu，也有同樣遭遇遠端程式碼攻擊的風險，但是它們安裝在用戶電腦上的網頁伺服器都未被蘋果移除。Buzzfeed報導RingCentral現有35萬家企業用戶，而號稱中國版Zoom的Zhumu包括Mac、iOS、Android及Windows版，則有超過500萬次下載。

RingCentral已在最新版本Mac app移除掉網頁伺服器，因此如果你的電腦安裝了這款app，最好立即更新。RingCentral公司對媒體表示目前尚未得知有用戶被攻擊的情形。Zhumu截至7月16日上午，還沒有任何動作。Lyons並說，其他取得Zoom技術授權的白牌app可能也有同樣風險。

研究人員已在GitHub公佈手動移除Zoom、RingCentral及Zhum app網頁伺服器的指令，可從隱藏目錄中移除這項元件，並建立空白檔案、設定權限防止被移除的伺服器軟體重新安裝。而一旦偵測到有伺服器執行，該指令也能將它砍掉。

如果Mac用戶下載了新版Zoom及RingCentral，且用的是Safari瀏覽器，應該就一切安全了，因為Safari會預設關閉自動執行的功能。其他瀏覽器如Chrome或Firefox，恐怕還是會出現啟動Zoom（及RingCentral）的連結，這可能是因用戶安裝Zoom時，在不知情下勾選了「永遠以Zoom開啟連結」的選項。Chrome和Firefox用戶可以到「偏好」選項中搜尋zoommtg、zoomrc或zhumu字串並選擇關閉。