व्हाट्सएप एप्लिकेशन में गंभीर भेद्यता, मैलवेयर की शुरूआत के लिए उपयुक्त

क्रिटिकल के बारे में जानकारी
कमजोरियों (CVE-2019-3568) व्हाट्सएप मोबाइल एप्लिकेशन में, जो आपको विशेष रूप से डिज़ाइन की गई वॉयस कॉल भेजकर अपना कोड निष्पादित करने की अनुमति देता है। एक सफल हमले के लिए, किसी दुर्भावनापूर्ण कॉल का जवाब आवश्यक नहीं है; एक कॉल ही पर्याप्त है। हालाँकि, ऐसी कॉल अक्सर कॉल लॉग में दिखाई नहीं देती है और उपयोगकर्ता द्वारा हमले पर ध्यान नहीं दिया जा सकता है।

भेद्यता सिग्नल प्रोटोकॉल से संबंधित नहीं है, बल्कि व्हाट्सएप-विशिष्ट वीओआईपी स्टैक में बफर ओवरफ्लो के कारण होती है। पीड़ित के डिवाइस पर एसआरटीसीपी पैकेट की विशेष रूप से डिज़ाइन की गई श्रृंखला भेजकर समस्या का फायदा उठाया जा सकता है। भेद्यता एंड्रॉइड के लिए व्हाट्सएप (2.19.134 में तय), एंड्रॉइड के लिए व्हाट्सएप बिजनेस (2.19.44 में तय), आईओएस के लिए व्हाट्सएप (2.19.51), आईओएस के लिए व्हाट्सएप बिजनेस (2.19.51), विंडोज फोन के लिए व्हाट्सएप को प्रभावित करती है। 2.18.348) और टाइज़ेन के लिए व्हाट्सएप (2.18.15)।

दिलचस्प बात यह है कि पिछले साल अध्ययन सुरक्षा व्हाट्सएप और फेसटाइम प्रोजेक्ट जीरो ने एक दोष की ओर ध्यान आकर्षित किया जो वॉयस कॉल से जुड़े नियंत्रण संदेशों को उपयोगकर्ता को कॉल स्वीकार करने से पहले चरण में भेजने और संसाधित करने की अनुमति देता है। व्हाट्सएप को इस सुविधा को हटाने की सिफारिश की गई थी और यह दिखाया गया था कि फ़ज़िंग परीक्षण करते समय, ऐसे संदेश भेजने से एप्लिकेशन क्रैश हो जाता है, यानी। पिछले साल भी यह ज्ञात था कि कोड में संभावित कमजोरियाँ थीं।

शुक्रवार को डिवाइस समझौता के पहले निशान की पहचान करने के बाद, फेसबुक इंजीनियरों ने एक सुरक्षा पद्धति विकसित करना शुरू कर दिया, रविवार को उन्होंने वर्कअराउंड का उपयोग करके सर्वर इंफ्रास्ट्रक्चर स्तर पर खामियों को अवरुद्ध कर दिया, और सोमवार को उन्होंने एक अपडेट वितरित करना शुरू कर दिया जिसने क्लाइंट सॉफ़्टवेयर को ठीक कर दिया। यह अभी तक स्पष्ट नहीं है कि भेद्यता का उपयोग करके कितने उपकरणों पर हमला किया गया। रविवार को केवल एनएसओ समूह प्रौद्योगिकी की याद दिलाने वाली विधि का उपयोग करके मानवाधिकार कार्यकर्ताओं में से एक के स्मार्टफोन पर हमला करने के असफल प्रयास की सूचना मिली थी, साथ ही मानवाधिकार संगठन एमनेस्टी इंटरनेशनल के एक कर्मचारी के स्मार्टफोन पर हमला करने का प्रयास किया गया था।

समस्या अनावश्यक प्रचार के बिना थी पहचान की इज़राइली कंपनी एनएसओ ग्रुप, जो कानून प्रवर्तन एजेंसियों द्वारा निगरानी प्रदान करने के लिए स्मार्टफ़ोन पर स्पाइवेयर स्थापित करने की भेद्यता का उपयोग करने में सक्षम थी। एनएसओ ने कहा कि यह ग्राहकों की बहुत सावधानी से जांच करता है (यह केवल कानून प्रवर्तन और खुफिया एजेंसियों के साथ काम करता है) और दुर्व्यवहार की सभी शिकायतों की जांच करता है। विशेष रूप से, अब व्हाट्सएप पर रिकॉर्ड किए गए हमलों से संबंधित एक परीक्षण शुरू किया गया है।

एनएसओ विशिष्ट हमलों में शामिल होने से इनकार करता है और केवल खुफिया एजेंसियों के लिए प्रौद्योगिकी विकसित करने का दावा करता है, लेकिन पीड़ित मानवाधिकार कार्यकर्ता अदालत में यह साबित करना चाहता है कि कंपनी उन ग्राहकों के साथ जिम्मेदारी साझा करती है जो उन्हें प्रदान किए गए सॉफ़्टवेयर का दुरुपयोग करते हैं, और अपने उत्पादों को उन सेवाओं के लिए बेचते हैं जिनके लिए जाना जाता है उनके मानवाधिकारों का उल्लंघन।

फेसबुक ने उपकरणों के संभावित समझौते की जांच शुरू की और पिछले हफ्ते निजी तौर पर अमेरिकी न्याय विभाग के साथ पहले परिणाम साझा किए, और सार्वजनिक जागरूकता के समन्वय के लिए कई मानवाधिकार संगठनों को समस्या के बारे में सूचित किया (दुनिया भर में लगभग 1.5 बिलियन व्हाट्सएप इंस्टॉलेशन हैं)।

स्रोत: opennet.ru