Раскрыты звесткі аб крытычнай
(CVE-2019-3568) у мабільным дадатку WhatsApp, якая дазваляе дабіцца выканання свайго кода праз адпраўку спецыяльна аформленага галасавога выкліку. Для паспяховага нападу адказ на шкоднасны выклік не патрабуецца, дастаткова паступленні званка. Пры гэтым часта падобны выклік не асядае ў часопісе званкоў і напад можа застацца незаўважанай карыстачом.
Уразлівасць не злучана з пратаколам Signal, а выкліканая перапаўненнем буфера ў спецыфічным для WhatsApp VoIP-стэку. Праблему можна эксплуатаваць праз адпраўку на прыладу ахвяры спецыяльна аформленай серыі пакетаў SRTCP. Уразлівасць выяўляецца ў WhatsApp для Android (выпраўлена ў 2.19.134), WhatsApp Business для Android (выпраўлена ў 2.19.44), WhatsApp для iOS (2.19.51), WhatsApp Business для iOS (2.19.51), WhatsApp для Windows Phone ( 2.18.348) і WhatsApp для Tizen (2.18.15).
Цікава, што ў мінулым годзе WhatsApp і Facetime праект Zero звярнуў увагу на недапрацоўку, якая дазваляе адпраўляць і апрацоўваць звязаныя з галасавым выклікам кіраўнікі паведамлення на стадыі да прыняцця званка карыстальнікам. WhatsApp было рэкамендавана выдаліць дадзеную магчымасць і паказана, што пры правядзенні fuzzing-праверкі адпраўка падобных паведамленняў прыводзіць да крахам прыкладання, г.зн. яшчэ ў мінулым годзе было вядома, што ў кодзе маюцца патэнцыйныя ўразлівасці.
Пасля выяўлення першых слядоў кампраметацыі прылад у пятніцу інжынеры Facebook прыступілі да распрацоўкі метаду абароны, у нядзелю абыходным шляхам забяспечылі блакаванне шчыліны на ўзроўні сервернай інфраструктуры, а ў панядзелак пачалі распаўсюджванне абнаўлення з выпраўленнем кліенцкага ПА. Пакуль не зразумела колькі прылад былі атакаваны з выкарыстаннем уразлівасці. Паведамляецца толькі аб спробе кампраметацыі ў нядзелю смартфона аднаго з праваабаронцаў пры дапамозе метаду, які нагадвае тэхналогію NSO Group, а таксама аб спробе атакі на смартфон супрацоўніка праваабарончай арганізацыі Amnesty International.
Праблема без лішняй агалоскі была ізраільскай кампаніяй NSO Group, якая змагла выкарыстаць уразлівасць для арганізацыі ўсталёўкі на смартфоны шпіёнскага ПА для забеспячэння сачэння праваахоўнымі органамі. Кампанія NSO заявіла, што вельмі старанна правярае кліентаў (супрацоўнічае толькі з праваахоўнымі органамі і спецслужбамі) і расследуе ўсе скаргі на злоўжыванні. У тым ліку зараз ініцыяванае разбіральніцтва, звязанае з зафіксаванымі атакамі на WhatsApp.
NSO абвяргае дачыненне да канкрэтных атак і заяўляе толькі аб распрацоўцы тэхналогій для спецслужбаў, але пацярпелы праваабаронца мае намер у судзе даказаць, што кампанія падзяляе адказнасць з кліентамі, якія злоўжываюць прадастаўленым ім ПЗ, і прадавала свае прадукты службам, вядомым сваімі парушэннямі правоў чалавека.
Кампанія Facebook ініцыявала расследаванне аб магчымай кампраметацыі прылад і на мінулым тыдні ў прыватным парадку падзялілася першымі вынікамі з Міністэрствам юстыцыі ЗША, а таксама паведаміла аб праблеме некаторыя праваабарончыя арганізацыі для каардынацыі інфармавання грамадства (у свеце налічваецца каля 1.5 млрд установак WhatsApp).
Крыніца: opennet.ru