Las vulnerabilidades de anotación Zoom detectadas recientemente apuntan a una parte concreta de la experiencia en videollamadas: la herramienta con la que los participantes pueden dibujar y escribir sobre una pantalla compartida. Según la investigación, la cadena de fallos permitiría que alguien presente en la reunión llegue a afectar el comportamiento del cliente de otros asistentes o incluso la capacidad del presentador, con implicaciones que van desde el control hasta la interrupción del servicio.
Lo relevante es que, de acuerdo con el análisis publicado, no haría falta un clic adicional del afectado, ni descargas, ni señales claras visibles durante la sesión. El problema se relaciona con cómo el sistema transforma las anotaciones en datos estructurados y con cómo el receptor confía en esos datos al reconstruir el objeto en pantalla.
Qué es la herramienta de anotación y por qué es el centro del problema
En Zoom, la función de anotaciones permite que quien comparte pantalla reciba aportes de otros participantes, y también que los espectadores interactúen con lo mostrado. En el escenario descrito por los investigadores, el flujo comienza cuando un asistente envía contenido para anotación.
El punto crítico no está únicamente en la interfaz, sino en el mecanismo interno: el cliente que envía una “anotación” no la transmite como una imagen plana, sino como una representación estructurada. Luego, el cliente receptor interpreta ese objeto y, para hacerlo, utiliza contadores y fragmentos de datos que llegan por la red.
La confianza excesiva en esos campos es, precisamente, donde aparecen varios errores.
Cómo una anotación malformada podría escalar a control del cliente
La investigación describe tres problemas relacionados con distintos aspectos del procesamiento de objetos de anotación. En un caso, se menciona un desbordamiento de búfer: el sistema llenaría un búfer fijo de 128 bytes sin comprobar si el contenido real encaja. Como la estructura termina con ese campo, un tamaño mayor podría escribir más allá del límite y afectar direcciones asociadas al flujo de ejecución.
En otro, se describe un lectura fuera de límites (over-read). La diferencia aquí importa: en lugar de sobrescribir memoria, el receptor podría recuperar información que no debería estar disponible, incluyendo datos residuales en el heap. Los investigadores sostienen que este material podría ser útil como parte de técnicas orientadas a eludir mecanismos de aleatorización de direcciones.
Además, se identifica un use-after-free, una clase de vulnerabilidad donde se usa memoria después de haber sido liberada. Este tipo de fallo puede convertirse en consecuencias más serias dependiendo del contexto y del patrón de asignaciones.
Pero la escalada al “alcance” de la sala no depende solo del contenido, sino también de la forma en que el sistema decide qué parser o qué interpretación usar para cada mensaje.
El fallo de validación del origen: mensajes mezclados entre participantes
Para que una anotación afecte a otras personas, el sistema debe manejar mensajes internos de forma consistente. En el análisis se indica que hay una validación insuficiente sobre el origen de los mensajes: cada visor mantiene un canal hacia quien comparte pantalla, mientras que quien comparte mantiene un canal reservado para acuses de recibo u otros intercambios.
En los caminos revisados por los investigadores, el despachador leería un identificador de tipo del mensaje directamente desde el flujo de red y lo entregaría al analizador correspondiente, sin verificar en qué “asiento” del emisor encaja ese mensaje. En términos prácticos: si el formato llega como se espera, el receptor podría reconstruir un objeto completo aunque pertenezca a una negociación distinta.
El resultado es que un dibujo o paquete de anotación malformado podría terminar siendo interpretado por el cliente de otra persona en la reunión, no solo por el remitente directo.
Versiones afectadas y cuándo actualizar
Zoom atribuye estos problemas a identificadores de vulnerabilidad específicos y ofrece parches. La recomendación clave para reducir el riesgo es actualizar las versiones afectadas. Según el informe, los cierres se aplican con estos criterios de versión:
- Zoom Workplace, en todas las plataformas compatibles: antes de 7.1.5 y 7.0.6 en sus ramas correspondientes.
- Zoom Workplace VDI Client para Windows: antes de 7.0.11 y 6.6.16.
- Zoom Rooms y Zoom Meeting SDK, en todas las plataformas: antes de 7.1.0 y antes de 7.1.5 para el tercer fallo.
La investigación también señala que los parches habrían estado disponibles con antelación: se mencionan arreglos enviados en junio y julio, aproximadamente dos meses antes de hacerse públicos los detalles.
¿Hay evidencia de explotación real?
Al momento de la publicación analizada, no se reporta explotación activa. Asimismo, no todos los identificadores mencionados aparecerían en el catálogo de vulnerabilidades conocidas explotadas de la CISA.
Eso no elimina el riesgo, pero sí sugiere que el problema se conoció y se corrigió antes de la divulgación completa. Aun así, dado que la clase de fallos describe comportamientos que podrían explotarse en condiciones apropiadas, actualizar sigue siendo la medida más importante.
Diferencias entre la puntuación de severidad y el relato técnico
Un elemento interesante del caso es la divergencia entre cómo distintos actores valoran el impacto. En el análisis se mencionan CVE con cifras de CVSS asociadas a distintos tipos de fallos (buffer over-write, buffer over-read y use-after-free).
También se comenta que el vendor reportaría una valoración más alta para el conjunto de problemas, y que no todas las puntuaciones que se mencionan aparecen de la misma forma en los boletines públicos. De hecho, se indica que NIST ya no vuelve a recalcular de manera rutinaria ciertos puntajes, por lo que podrían mantenerse valores más conservadores o distintos entre fuentes.
Otro punto de contraste gira en torno a la interacción del usuario: ambos lados marcan “interacción requerida” en sus vectores, algo que choca con la narrativa de “cero clic” asociada al marco del riesgo descrito por los investigadores. Es decir, la práctica real dependería de cómo se desencadenaría el procesamiento en el entorno de la reunión.
Qué dice la empresa investigadora y por qué la verificación externa es limitada
El informe atribuye los hallazgos a un equipo de ciberseguridad con base en Israel. Su publicación describe una ruta rápida desde el descubrimiento hasta la creación de un exploit funcional, apoyándose en modelos de IA disponibles públicamente.
Sin embargo, el documento también señala que fuera del equipo no sería posible verificar esa afirmación con total transparencia, porque el detalle sobre los modelos usados no estaría incluido en el texto. Además, se menciona que el vendor podría puntuar los bugs por debajo de la severidad que sugiere la firma investigadora, y que uno de los tres fallos sería acreditado a un trabajo interno.
Zoom, por su parte, no habría publicado detalles técnicos exhaustivos; por eso, los investigadores basan la explicación interna en su propio trabajo de ingeniería inversa.
Implicaciones prácticas para usuarios y administradores
Más allá del detalle técnico, el mensaje para organizaciones y usuarios es directo: las vulnerabilidades de anotación Zoom demuestran que una característica aparentemente “colaborativa” puede convertirse en vector de riesgo si el procesamiento del contenido compartido tiene validaciones insuficientes.
Para reducir la exposición, considera:
- Actualizar clientes y componentes (Workplace, VDI, Rooms y Meeting SDK) a versiones posteriores a los números indicados.
- Revisar políticas de colaboración en reuniones sensibles: controla quién puede anotar y quién puede compartir pantalla.
- Aplicar higiene de seguridad: monitorea eventos anómalos en sesiones y limita permisos cuando sea posible.
Aunque no se haya informado explotación al momento del reporte, actuar preventivamente evita sorpresas.
Conclusión
Las vulnerabilidades de anotación Zoom se concentran en la herramienta de dibujo y escritura compartida, y el análisis explica cómo errores en el procesamiento de objetos y en la validación de origen podrían permitir que un participante influya en el cliente de otros. La corrección ya estaría disponible para varias versiones, por lo que la mejor defensa es mantener el software al día y reforzar el control de funciones colaborativas en reuniones críticas.
Fuente: https://thehackernews.com/2026/08/zoom-annotation-flaws-could-let-meeting.html
