De Linux-versie van Zoom 7.1.5 leest automatisch de inhoud van het X11-klembord uit. De toepassing vraagt om gegevens zodra een nieuw programma eigenaar wordt van het klembord. Dat gebeurt ook als de gebruiker niet zelf een plakactie start.
De werkwijze is vastgesteld door Linux-gebruiker Simon Tatham. Hij ontdekte het gedrag nadat een programma voor eenmalig plakken na een systeemupdate onverwacht direct werd afgesloten. Dat programma wacht normaal gesproken op één plakverzoek, geeft de inhoud door en beëindigt daarna zichzelf.
Alleen het gewone klembord
Zoom lijkt alleen de zogenoemde CLIPBOARD-selectie te benaderen. Dat is het klembord dat gebruikers doorgaans vullen met een sneltoets als Ctrl+C en uitlezen met Ctrl+V. De toepassing lijkt niet de PRIMARY-selectie te gebruiken, waarmee in X11 traditioneel tekst wordt gekopieerd door die te selecteren en met de middelste muisknop te plakken.
Technisch lijkt Zoom wijzigingen te volgen via de XFIXES-uitbreiding van X11. Zodra een ander programma het klembord claimt, stuurt Zoom dat programma direct een verzoek om de inhoud te leveren. Daardoor kan de toepassing inhoud opvragen die bijvoorbeeld net door een wachtwoordmanager op het klembord is gezet.
Dat betekent niet automatisch dat Zoom de gegevens naar zijn servers verstuurt. Wel krijgt het programma toegang tot de inhoud die door het X11-klembord wordt aangeboden. Dat kan gevoelig zijn voor gebruikers die wachtwoorden, toegangscodes of andere vertrouwelijke informatie tijdelijk kopiëren.
Effect op hulpmiddelen
Het gedrag is zichtbaar met hulpmiddelen zoals xclip, dat beschikbaar is voor Debian en Ubuntu. Een opdracht die tekst op het CLIPBOARD-klembord zet en wacht op één plakverzoek, wordt met Zoom 7.1.5 meteen beëindigd. Zonder Zoom zou het programma blijven wachten tot de gebruiker daadwerkelijk ergens plakt.
Eerder werd vergelijkbaar gedrag gemeld bij Slack op Linux. Die toepassing vroeg volgens Tatham pas om de klembordinhoud wanneer het Slack-venster actief werd en bood bovendien een instelling om de functie uit te schakelen. Voor Zoom 7.1.5 is in de beschikbare informatie geen vergelijkbare optie genoemd.
Gebruikers van X11 die gevoelige gegevens via het klembord verwerken, kunnen voorlopig het klembordgebruik van Zoom vermijden of een andere werkomgeving gebruiken. Het probleem gaat specifiek over de Linux-client en de X11-selecties. De gevolgen voor Wayland zijn hiermee niet vastgesteld.
