Zoom-Teilnehmer, die in einer Sitzung Inhalte annotieren oder teilen, könnten laut einer neuen Meldung in eine riskante Lage geraten. Im Kern geht es um Zoom Annotation Schwachstellen in einem Feature, das Zeichnungen und Texte über einen geteilten Bildschirm ermöglicht. Dabei soll der Angreifer keinen sichtbaren Hinweis auf die Manipulation benötigen und auch keinen Download oder Klick auslösen.
Wichtig: Laut der Veröffentlichung gibt es bislang keine Berichte über tatsächlich beobachtete Ausnutzung. Trotzdem zeigen die technischen Details, dass die Angriffsfläche nicht nur theoretisch ist, sondern eng mit dem Zusammenspiel von Client, geteiltem Bildschirm und Nachrichtenverarbeitung zusammenhängt.
Was ist die Angriffsfläche bei Zoom-Annotationen?
Die betroffene Funktion heißt „Annotation Tool“. Sie erlaubt es Teilnehmenden, auf einem gemeinsamen Bildschirm zu zeichnen und Text einzublenden. Die Schwäche betrifft nicht die Freigabe an sich, sondern den Weg, wie diese Zeichen-/Textdaten vom Client verarbeitet und über das Meeting verteilt werden.
In der Darstellung der Forschenden soll ein Angreifer während der Sitzung lediglich „dabei“ sein. Es wird betont, dass keine typische Nutzerinteraktion erforderlich ist: kein Klick, kein Download und keine auffällige Meldung, die man im Fenster sehen müsste. Dadurch rückt das Thema in die Kategorie „schwer erkennbar“, selbst wenn sich die Auswirkungen auf den getroffenen Client beziehen.
Keine bekannten Exploits – aber mehrere CVE-Lücken
Der Bericht nennt drei unterschiedliche Schwachstellen, die in Verbindung mit den Annotationen stehen. Demnach sind sie in unterschiedlichen Kategorien eingestuft: einmal ein Problem beim Schreiben über eine Puffergrenze (buffer overwrite), einmal ein Problem beim Lesen über eine Puffergrenze (buffer over-read) und zusätzlich ein use-after-free.
Zoom führt die Lücken unter den CVE-Nummern CVE-2026-53413, CVE-2026-53414 und CVE-2026-53415. In der Veröffentlichung werden außerdem Zuordnungen wie ZSB-26015 bis ZSB-26017 erwähnt, die die Schwachstellen thematisch bündeln.
Zum Zeitpunkt der Veröffentlichung heißt es ausdrücklich: Es gibt keine bekannten Hinweise auf Ausnutzung. Außerdem finden sich die genannten Identifikatoren nicht in CISA-Listen zu „known exploited vulnerabilities“.
Welche Zoom-Versionen sind betroffen und was wurde gepatcht?
Ein zentrales Element für Anwender ist der Patch-Status. Laut Meldung wurden Updates bereits im Juni und Juli verteilt – also etwa zwei Monate vor der öffentlichen Bekanntgabe. Wer rechtzeitig aktualisiert hat, sollte damit auf den korrigierten Versionen arbeiten.
Die Veröffentlichung nennt konkret folgende Versionen als Grenze zur Absicherung:
- Zoom Workplace (alle unterstützten Plattformen): vor 7.1.5 bzw. vor 7.0.6 in den jeweiligen Branches.
- Zoom Workplace VDI Client für Windows: vor 7.0.11 bzw. vor 6.6.16.
- Zoom Rooms und Zoom Meeting SDK (alle Plattformen): vor 7.1.0 und außerdem vor 7.1.5 für die dritte Schwachstelle.
Wenn Sie regelmäßig Meetings über verschiedene Clients nutzen (z. B. Desktop, VDI oder Räume), lohnt sich ein Abgleich: Patches gelten nicht immer für alle Komponenten gleichzeitig, und ältere Installationen können in Organisationen lange „nachlaufen“.
Wie kann ein Angreifer die Annotationen missbrauchen?
Der Bericht beschreibt eine technische Kette, die mit der Annotation zusammenhängt: Ein Zeichnungsobjekt wird im Client nicht als reines Bild übertragen. Stattdessen wird es in eine strukturierte Form umgewandelt und als Sequenz aus Zählwerten und Daten verschickt.
Der Empfänger vertraut dabei auf diese Zählwerte. In mindestens einem Pfad soll dabei ein Puffer fester Größe verwendet werden, ohne ausreichend zu prüfen, ob die Datenmenge tatsächlich hineinpasst. Wenn ein Zählwert größer ausfällt als erwartet, kann das über das Ziel hinausreichen – bis in Bereiche, die für die Rücksprungadresse relevant sind.
Zusätzlich wird ein zweiter Punkt hervorgehoben, der die Auswirkungen im Raum verstärkt: Es fehlt eine entscheidende Kontrolle, aus welcher „Sitzposition“ (also von welchem Sender innerhalb des Meetings) eine Nachricht stammt. Die Forschenden erklären, dass der Dispatcher eine Nachricht anhand eines Typs weiterleitet und anschließend einem passenden Parser übergibt, ohne die Zuordnung zum richtigen Teilnehmer sauber abzusichern.
Dadurch kann ein Angreifer einem Opfer-Client im Prinzip die Information so „überreden“, dass er das Objekt in vollständiger Form rekonstruiert, während der eigentliche Ursprung nicht korrekt berücksichtigt wird.
Unterschiedliche Bewertungen: CVSS und Konflikt der Einschätzung
Spannend (und für die Priorisierung in Teams besonders relevant) ist die Diskrepanz zwischen verschiedenen Bewertungen. Laut Veröffentlichung bewertet Zoom die Lücken insgesamt deutlich anders als die Forschenden: In den Berichten werden für die Anbieterbewertung Werte um 9.0 unter einem „CVSS 4.0“-Rahmen erwähnt.
Die gemeldeten Werte sollen in den öffentlichen Bulletins jedoch nicht identisch auftauchen. Der Bericht erklärt außerdem, dass NIST CVE-Einträge nicht mehr in der üblichen Routine neu bewertet. Das kann dazu führen, dass in der Praxis niedrigere Werte stehen bleiben und somit die tatsächliche Einstufung in der Öffentlichkeit von der internen Risikowahrnehmung abweichen kann.
Zur Einordnung: In den genannten Forschenden-Parametern werden beispielsweise CVSS 8.3 und CVSS 6.5 sowie ein CVSS 8.3 für die drei Schwachstellenabschnitte genannt. Außerdem wird erwähnt, dass die Vendor-Vektoren Nutzerinteraktion als erforderlich markieren, während die Darstellung der Angriffsmöglichkeiten eher „ohne sichtbare Nutzeraktion“ beschrieben wird.
Use-after-free und mögliche Unterstützung für Schutzmaßnahmen-Umgehung
Der Bericht differenziert die Schwachstellen: Bei der over-read-Lücke unterscheiden sich die Aussagen am stärksten. Die Forschenden schreiben, dass sie damit nicht nur Daten auslesen können, sondern dass im Opfer-Client uninitialisierte Heap-Speicherbereiche plausibel werden, inklusive Informationen, die für Umgehungen von Schutzmechanismen relevant sein können.
Als Kontext nennt der Bericht, dass solche Daten insbesondere dann wichtig sind, wenn Sicherheitsmechanismen wie Adress-Randomisierung (ASLR) gezielt „umgangen“ werden sollen. Ob und wie genau das in allen realen Szenarien gelingt, hängt jedoch stark von Implementierung und Laufzeitumgebung ab.
Wer steckt hinter der Meldung?
Als Quelle der technischen Untersuchung wird das Unternehmen „A Security“ genannt. Der Bericht beschreibt es als in Israel gegründeten Anbieter für offensive Sicherheit mit einer finanziellen Basis, die zum Zeitpunkt der Auswertung erwähnt wird. Außerdem wird geschildert, dass das Team von der Ermittlung der Schwachstelle bis zu einer funktionierenden Ausnutzung in sehr kurzer Zeit gekommen sei.
Gleichzeitig bleibt in der Veröffentlichung eine Transparenz-Lücke: Der Post nennt kein konkretes KI-Modell, das für die Entwicklung der Angriffskette verwendet worden sein soll. Außerdem wird erwähnt, dass der Anbieter die Bugs geringer einordnet als die Forschenden. In einer weiteren Nuance teilen sich die Urheberrollen je nach Schwachstellenabschnitt.
Zoom selbst habe laut Meldung keine technischen Details offengelegt. Die internen Erklärungen in der Veröffentlichung stützen sich daher auf Reverse Engineering durch das Forschungsteam.
Warum die verantwortliche Aktualisierung jetzt zählt
Auch wenn keine aktive Ausnutzung gemeldet ist, ist die praktische Konsequenz klar: Teams sollten prüfen, ob alle eingesetzten Zoom-Clients und SDK-Komponenten auf den Patch-Ständen liegen. Gerade in Unternehmen kommen häufig mehrere Varianten zusammen – Desktop, VDI, Meeting SDK oder Zoom Rooms.
Darüber hinaus hilft es, Meeting-Workflows zu überprüfen: Wenn ein Angreifer die Annotation-Funktion missbrauchen könnte, spielt die Frage „Wer darf annotieren?“ eine wichtige Rolle in der Risikominderung. Das ist keine vollständige technische Lösung, kann aber die Angriffsoberfläche spürbar verkleinern.
Fazit: Zoom Annotation Schwachstellen sind gepatcht, Kontrolle bleibt wichtig
Die Meldung zu Zoom Annotation Schwachstellen zeigt, wie kritisch Details in Datenformaten und Nachrichtenzuordnung in Echtzeit-Kommunikation sein können. Der Bericht beschreibt eine Kette, bei der falsche Annahmen über Datenlängen und fehlende Senderzuordnung zu erheblichen Auswirkungen im Meeting führen könnten.
Positiv ist: Laut Veröffentlichung wurden die relevanten Patches bereits im Juni und Juli bereitgestellt, und bislang gibt es keine Berichte über beobachtete Ausnutzung. Dennoch sollten Nutzer und Administratoren jetzt die betroffenen Versionen gegenprüfen und sicherstellen, dass alle Zoom-Clients im Unternehmen auf den empfohlenen Ständen laufen.
Quelle: https://thehackernews.com/2026/08/zoom-annotation-flaws-could-let-meeting.html
