Linux版Zoomクライアント、X11クリップボードの内容を常時読み取りか
Linux Zoom client proactively reading everything written to X11 clipboard
Simon Tatham氏が、Linux版Zoomクライアントのアップデートにより、X11クリップボードに書き込まれた内容を常時読み取るようになったと報告。バージョン7.1.5で確認され、クリップボードの所有者が変わるたびに即座にペースト要求を送信する。パスワードマネージャーなどがクリップボード経由で秘密情報を扱う場合、深刻なリスクとなる。
Linux版Zoomクライアントのアップデートが、X11クリップボードに書き込まれた「すべて」を能動的に読み取るようになったことに今日気づいた。
HNでの議論
147- rmellow
Zoomが特権を悪用するのはこれが初めてではない。
数年前、Zoom側の怪しい実行方法によりMacOSでrootを取得できるという話があった。
それ以来、私は彼らを信用していない。サンドボックス化してしか実行しない: https://gist.github.com/cielavenir/02f322e322a2a3555dbf2b38f...
私はいつも(1)なぜアプリにインストールが必要なのか、(2)なぜrootが必要なのかと問う。
どちらにも正当な答えはあるが、現実的には、ビデオ会議アプリに必要なのは(音声と映像、おそらく画面共有を除けば)設定ファイルの保存だけだ。
特権やプライベートなパスにアクセスする正当な用途はない。
- mzajc
Zoomとは無関係だが、
> 一度きりのペースト要求を満たしてから終了する「ワンショットペースト」ツールを多用しているので気づいた。Webフォームの多くのフィールドを埋めるのに便利で、いくつかの異なるものをペーストするためにキューに入れ、各フォームフィールドに順番に移動してペーストを押すだけ、バンバンバン。
これはとても便利そうだ。どこかで入手できるツールだろうか？ xclip -loopsではうまくいかないようだし、Waylandではそもそもそういう動作をしないのかもしれない。
- Arbortheus
こういうものはブラウザで動かせばいい。デスクトップクライアントをインストールさせようとするダークパターンはあるが、Web版は問題ない。
- bytesandbits
Zoomはマルウェアだ、昔からずっと。
- Throwthrowbob
友人がLinuxコンピュータにソフトウェアマネージャー経由でZoomをインストールしたのを覚えている。後でそれを削除し、ソフトウェアマネージャーでZoomのページを訪れたところ、本人の操作なしに自動的にZoomをインストールしようとした(つまり、友人はインストールをクリックしていないのに、ページを見ただけでパッケージインストール用のパスワードプロンプトが表示された)。
これが他のパッケージでもソフトウェアマネージャーで起きた動作なのかはわからないが、私たちにとっては懸念事項だった。
- SubiculumCode
カリフォルニア大学はプライバシー契約付きのZoomアカウントをライセンスしている。私はLinuxにインストールしている。今からこの動作を再現できるか確認してみる。もし再現できた場合、それが彼らの契約違反かどうかはわからないが、気に入らない。
- ocd
普通の電話会議が標準だった時代が恋しい。デスクトップIP電話があるのはいい。
- shevy-java
とても悲しい。こうした企業はユーザーをスパイしてLinuxを台無しにしようとしている。