Критична уязвимост в приложението WhatsApp, подходяща за въвеждане на зловреден софтуер

Информация за критични
уязвимости (CVE-2019-3568) в мобилното приложение WhatsApp, което ви позволява да изпълните своя код чрез изпращане на специално създадено гласово повикване. За успешна атака не е необходим отговор на злонамерено обаждане, достатъчно е обаждане. Такова повикване обаче често не се появява в регистъра на повикванията и атаката може да остане незабелязана от потребителя.

Уязвимостта не е свързана с протокола Signal, но е причинена от препълване на буфера в VoIP стека, специфичен за WhatsApp. Проблемът може да се използва чрез изпращане на специално проектирана серия от SRTCP пакети към устройството на жертвата. Уязвимостта засяга WhatsApp за Android (коригирана във 2.19.134), WhatsApp Business за Android (коригирана във 2.19.44), WhatsApp за iOS (2.19.51), WhatsApp Business за iOS (2.19.51), WhatsApp за Windows Phone ( 2.18.348) и WhatsApp за Tizen (2.18.15).

Интересното е, че през миналата година проучване сигурност WhatsApp и Facetime Project Zero обърнаха внимание на пропуск, който позволява изпращането и обработката на контролни съобщения, свързани с гласово повикване, на етапа, преди потребителят да приеме повикването. На WhatsApp беше препоръчано да премахне тази функция и беше показано, че при провеждане на тест за размиване изпращането на такива съобщения води до сривове на приложението, т.е. Още миналата година беше известно, че има потенциални уязвимости в кода.

След като идентифицираха първите следи от компрометиране на устройството в петък, инженерите на Facebook започнаха да разработват метод за защита, в неделя те блокираха вратичката на ниво сървърна инфраструктура, използвайки заобиколно решение, а в понеделник започнаха да разпространяват актуализация, която коригира клиентския софтуер. Все още не е ясно колко устройства са били атакувани с помощта на уязвимостта. В неделя беше отчетен само неуспешен опит за компрометиране на смартфона на един от правозащитниците по метод, напомнящ технологията на NSO Group, както и опит за атака на смартфона на служител на правозащитната организация Amnesty International.

Проблемът беше без излишна реклама идентифицирани Израелската компания NSO Group, която успя да използва уязвимостта, за да инсталира шпионски софтуер на смартфони, за да осигури наблюдение от страна на правоприлагащите органи. NSO каза, че проверява клиентите много внимателно (работи само с правоприлагащите и разузнавателните агенции) и разследва всички оплаквания за злоупотреба. По-специално, вече е започнат процес, свързан със записани атаки срещу WhatsApp.

NSO отрича участие в конкретни атаки и твърди само, че разработва технология за разузнавателните агенции, но потърпевшият правозащитник възнамерява да докаже в съда, че компанията споделя отговорността с клиенти, които злоупотребяват с предоставения им софтуер и продават продуктите си на услуги, известни с техните нарушения на човешките права.

Facebook започна разследване на възможното компрометиране на устройства и миналата седмица частно сподели първите резултати с Министерството на правосъдието на САЩ, а също така уведоми няколко правозащитни организации за проблема, за да координира обществената информираност (има около 1.5 милиарда инсталации на WhatsApp по целия свят).

Източник: opennet.ru