اطلاعات در مورد بحرانی
(CVE-2019-3568) در اپلیکیشن موبایل واتس اپ که به شما امکان می دهد کد خود را با ارسال یک تماس صوتی طراحی شده خاص اجرا کنید. برای یک حمله موفقیت آمیز، پاسخ به یک تماس مخرب لازم نیست، یک تماس کافی است. با این حال، چنین تماسی اغلب در گزارش تماس ظاهر نمی شود و ممکن است حمله مورد توجه کاربر قرار نگیرد.
این آسیب‌پذیری مربوط به پروتکل سیگنال نیست، بلکه ناشی از سرریز بافر در پشته VoIP ویژه واتس‌اپ است. مشکل را می توان با ارسال یک سری بسته های SRTCP طراحی شده به دستگاه قربانی مورد سوء استفاده قرار داد. این آسیب پذیری بر WhatsApp برای اندروید (رفع شده در 2.19.134)، WhatsApp Business برای Android (در نسخه 2.19.44 رفع شده)، WhatsApp برای iOS (2.19.51)، WhatsApp Business برای iOS (2.19.51)، WhatsApp برای Windows Phone ( 2.18.348) و WhatsApp برای Tizen (2.18.15).
جالب است که در سال گذشته WhatsApp و Facetime Project Zero توجه را به نقصی جلب کردند که اجازه می‌دهد پیام‌های کنترلی مرتبط با تماس صوتی در مرحله قبل از پذیرش تماس توسط کاربر ارسال و پردازش شوند. واتس اپ توصیه شد که این ویژگی را حذف کند و نشان داده شد که هنگام انجام یک تست فازی، ارسال چنین پیام هایی منجر به از کار افتادن برنامه می شود، یعنی. حتی سال گذشته مشخص شد که آسیب پذیری های احتمالی در کد وجود دارد.
مهندسان فیس بوک پس از شناسایی اولین ردپاهای به خطر افتادن دستگاه در روز جمعه، شروع به توسعه یک روش حفاظتی کردند، روز یکشنبه با استفاده از یک راه حل، شکاف در سطح زیرساخت سرور را مسدود کردند، و روز دوشنبه شروع به توزیع به روز رسانی کردند که نرم افزار مشتری را تعمیر می کرد. هنوز مشخص نیست که چند دستگاه با استفاده از این آسیب پذیری مورد حمله قرار گرفته اند. تنها تلاش ناموفق روز یکشنبه برای به خطر انداختن گوشی هوشمند یکی از فعالان حقوق بشر با استفاده از روشی یادآور فناوری NSO Group و همچنین تلاش برای حمله به گوشی هوشمند یکی از کارکنان سازمان حقوق بشر عفو بین الملل گزارش شد.
مشکل بدون تبلیغات غیر ضروری بود شرکت اسرائیلی NSO Group، که توانست از این آسیب‌پذیری برای نصب نرم‌افزارهای جاسوسی بر روی گوشی‌های هوشمند استفاده کند تا بتواند توسط سازمان‌های مجری قانون نظارت کند. NSO گفت که مشتریان را با دقت بررسی می کند (فقط با مجری قانون و سازمان های اطلاعاتی کار می کند) و همه شکایات سوء استفاده را بررسی می کند. به طور خاص، اکنون یک آزمایش مربوط به حملات ضبط شده در WhatsApp آغاز شده است.
NSO دخالت در حملات خاص را رد می کند و فقط ادعا می کند که فناوری را برای آژانس های اطلاعاتی توسعه می دهد، اما فعال حقوق بشر قربانی قصد دارد در دادگاه ثابت کند که این شرکت با مشتریانی که از نرم افزار ارائه شده به آنها سوء استفاده می کنند و محصولات خود را به سرویس هایی می فروشند که به آنها معروف هستند مسئولیت مشترک دارد. نقض حقوق بشر آنها
فیس بوک تحقیقاتی را در مورد به خطر انداختن احتمالی دستگاه ها آغاز کرد و هفته گذشته به طور خصوصی اولین نتایج را با وزارت دادگستری ایالات متحده به اشتراک گذاشت و همچنین به چندین سازمان حقوق بشری در مورد این مشکل برای هماهنگ کردن آگاهی عمومی اطلاع داد (حدود 1.5 میلیارد نصب WhatsApp در سراسر جهان وجود دارد).
منبع: opennet.ru