Contexte du signalement
Un message publié sur Mastodon, intitulé « Linux Zoom client proactively reading everything written to X11 clipboard », signale que le client Zoom sous Linux intercepterait systématiquement le contenu du presse‑papier X11. Le post ne fournit pas de version précise du logiciel, ni de journal d’événement, mais il constitue la seule donnée factuelle disponible.
Mécanisme de lecture du presse‑papier sous X11
Sur le serveur X11, le presse‑papier repose sur le concept de « selection ». Lorsqu’une application copie du texte, elle revendique la propriété de la sélection « CLIPBOARD ». Les autres programmes peuvent alors interroger le serveur X pour récupérer le contenu en envoyant une requête GetSelectionOwner suivie d’un ConvertSelection. Cette architecture implique que toute application disposant d’un accès au serveur X peut, à condition d’être autorisée, demander le texte présent dans la sélection à tout moment. Ainsi, si le client Zoom possède un thread dédié à la surveillance de la sélection, il peut poller le serveur X à intervalles réguliers et récupérer chaque nouvelle chaîne de caractères copiée par l’utilisateur.
Implications de sécurité et limites
Le fait de lire automatiquement le presse‑papier expose potentiellement des informations sensibles (identifiants, codes de vérification, données personnelles) à un service tiers. Dans le modèle X11, aucune isolation n’empêche un processus de type « client » d’accéder aux sélections d’un autre, ce qui rend la protection dépendante de la confiance accordée à l’application. Si Zoom implémente effectivement ce comportement, chaque copie effectuée pendant une réunion pourrait être transmise aux serveurs de Zoom, augmentant la surface d’attaque. Cependant, l’article ne précise pas si le texte est envoyé en clair, chiffré, ou filtré, ni si l’utilisateur peut désactiver cette fonctionnalité via les paramètres du client.
État actuel des informations
Le post Mastodon ne mentionne aucune version du client Zoom, aucun extrait de journal, ni aucune preuve de code source. En l’absence de ces éléments, il est impossible de confirmer la portée exacte du problème, de déterminer si le comportement est intentionnel ou le résultat d’une mauvaise configuration, ou encore d’évaluer l’impact réel sur la confidentialité des utilisateurs. Les développeurs de Zoom n’ont pas encore publié de commentaire officiel, et aucune analyse indépendante n’a été rendue publique à ce jour.
