WhatsApp એપ્લિકેશનમાં ગંભીર નબળાઈ, માલવેરની રજૂઆત માટે યોગ્ય

જટિલ વિશે માહિતી
નબળાઈઓ (CVE-2019-3568) WhatsApp મોબાઇલ એપ્લિકેશનમાં, જે તમને ખાસ ડિઝાઇન કરેલ વૉઇસ કૉલ મોકલીને તમારો કોડ એક્ઝિક્યુટ કરવાની મંજૂરી આપે છે. સફળ હુમલા માટે, દૂષિત કૉલનો પ્રતિસાદ જરૂરી નથી; કૉલ પૂરતો છે. જો કે, આવો કોલ વારંવાર કોલ લોગમાં દેખાતો નથી અને એટેક યુઝરના ધ્યાને ન જાય.

નબળાઈ સિગ્નલ પ્રોટોકોલ સાથે સંબંધિત નથી, પરંતુ WhatsApp-વિશિષ્ટ VoIP સ્ટેકમાં બફર ઓવરફ્લોને કારણે થાય છે. પીડિતના ઉપકરણ પર એસઆરટીસીપી પેકેટોની ખાસ ડિઝાઇન કરેલી શ્રેણી મોકલીને સમસ્યાનો ઉપયોગ કરી શકાય છે. નબળાઈ Android માટે WhatsApp (2.19.134 માં નિશ્ચિત), Android માટે WhatsApp Business (2.19.44 માં નિશ્ચિત), iOS માટે WhatsApp (2.19.51), iOS માટે WhatsApp Business (2.19.51), Windows Phone માટે WhatsAppને અસર કરે છે. 2.18.348) અને Tizen માટે WhatsApp (2.18.15).

રસપ્રદ વાત એ છે કે, ગયા વર્ષે સંશોધન સુરક્ષા વોટ્સએપ અને ફેસટાઇમ પ્રોજેક્ટ ઝીરોએ એક ખામી તરફ ધ્યાન દોર્યું હતું જે વપરાશકર્તા દ્વારા કૉલ સ્વીકારે તે પહેલાં સ્ટેજ પર વૉઇસ કૉલ સાથે સંકળાયેલા નિયંત્રણ સંદેશાઓ મોકલવા અને પ્રક્રિયા કરવાની મંજૂરી આપે છે. WhatsAppને આ સુવિધાને દૂર કરવાની ભલામણ કરવામાં આવી હતી અને તે દર્શાવવામાં આવ્યું હતું કે જ્યારે ફઝિંગ ટેસ્ટ કરવામાં આવે છે, ત્યારે આવા સંદેશા મોકલવાથી એપ્લિકેશન ક્રેશ થાય છે, એટલે કે. ગયા વર્ષે પણ તે જાણીતું હતું કે કોડમાં સંભવિત નબળાઈઓ છે.

શુક્રવારે ઉપકરણના સમાધાનના પ્રથમ નિશાનો ઓળખ્યા પછી, Facebook એન્જિનિયરોએ એક સંરક્ષણ પદ્ધતિ વિકસાવવાનું શરૂ કર્યું, રવિવારે તેઓએ સર્વર ઇન્ફ્રાસ્ટ્રક્ચર સ્તરે વર્કઅરાઉન્ડનો ઉપયોગ કરીને છટકબારીને અવરોધિત કરી, અને સોમવારે તેઓએ ક્લાયંટ સોફ્ટવેરને ઠીક કરતા અપડેટનું વિતરણ કરવાનું શરૂ કર્યું. નબળાઈનો ઉપયોગ કરીને કેટલા ઉપકરણો પર હુમલો કરવામાં આવ્યો તે હજુ સ્પષ્ટ નથી. એનએસઓ ગ્રૂપ ટેક્નોલોજીની યાદ અપાવે તેવી પદ્ધતિનો ઉપયોગ કરીને માનવાધિકાર કાર્યકર્તાઓમાંના એકના સ્માર્ટફોન સાથે સમાધાન કરવાનો, તેમજ માનવાધિકાર સંગઠન એમ્નેસ્ટી ઇન્ટરનેશનલના કર્મચારીના સ્માર્ટફોન પર હુમલો કરવાનો પ્રયાસ માત્ર રવિવારે જ કરવામાં આવ્યો હતો.

સમસ્યા બિનજરૂરી પ્રચાર વિના હતી ઓળખાયેલ ઇઝરાયેલી કંપની NSO ગ્રુપ, જે કાયદા અમલીકરણ એજન્સીઓ દ્વારા દેખરેખ પૂરી પાડવા માટે સ્માર્ટફોન પર સ્પાયવેર ઇન્સ્ટોલ કરવા માટે નબળાઈનો ઉપયોગ કરવામાં સક્ષમ હતી. NSOએ કહ્યું કે તે ગ્રાહકોને ખૂબ જ કાળજીપૂર્વક તપાસે છે (તે માત્ર કાયદા અમલીકરણ અને ગુપ્તચર એજન્સીઓ સાથે કામ કરે છે) અને દુરુપયોગની તમામ ફરિયાદોની તપાસ કરે છે. ખાસ કરીને, હવે વોટ્સએપ પર રેકોર્ડ કરાયેલા હુમલાઓ સંબંધિત ટ્રાયલ શરૂ કરવામાં આવી છે.

NSO ચોક્કસ હુમલાઓમાં સંડોવણીનો ઇનકાર કરે છે અને માત્ર ગુપ્તચર એજન્સીઓ માટે ટેક્નોલોજી વિકસાવવાનો દાવો કરે છે, પરંતુ પીડિત માનવાધિકાર કાર્યકર્તા કોર્ટમાં સાબિત કરવા માગે છે કે કંપની તેમને પ્રદાન કરેલા સોફ્ટવેરનો દુરુપયોગ કરનારા ગ્રાહકો સાથે જવાબદારી વહેંચે છે, અને તેના ઉત્પાદનો માટે જાણીતી સેવાઓને વેચે છે. તેમના માનવ અધિકારોનું ઉલ્લંઘન.

Facebook એ ઉપકરણોના સંભવિત સમાધાન અંગે તપાસ શરૂ કરી અને ગયા અઠવાડિયે ખાનગી રીતે પ્રથમ પરિણામો યુએસ ડિપાર્ટમેન્ટ ઑફ જસ્ટિસ સાથે શેર કર્યા, અને જાહેર જાગૃતિનું સંકલન કરવા સમસ્યા વિશે અનેક માનવાધિકાર સંસ્થાઓને પણ સૂચિત કર્યા (વિશ્વભરમાં લગભગ 1.5 અબજ WhatsApp ઇન્સ્ટોલેશન છે).

સોર્સ: opennet.ru