Upplýsingar um mikilvægar
(CVE-2019-3568) í WhatsApp farsímaforritinu, sem gerir þér kleift að keyra kóðann þinn með því að senda sérhannað símtal. Fyrir árangursríka árás er ekki þörf á svari við illgjarnri símtali. Hins vegar birtist slíkt símtal oft ekki í símtalaskránni og árásin gæti farið fram hjá notandanum.
Varnarleysið er ekki tengt merki samskiptareglunum, heldur stafar það af biðminni yfirflæðis í WhatsApp sértækum VoIP stafla. Hægt er að nýta vandamálið með því að senda sérhannaða röð af SRTCP pakka í tæki fórnarlambsins. Varnarleysið hefur áhrif á WhatsApp fyrir Android (lagað í 2.19.134), WhatsApp Business fyrir Android (lagað í 2.19.44), WhatsApp fyrir iOS (2.19.51), WhatsApp Business fyrir iOS (2.19.51), WhatsApp fyrir Windows Phone ( 2.18.348) og WhatsApp fyrir Tizen (2.18.15).
Athyglisvert er að í fyrra WhatsApp og Facetime Project Zero vöktu athygli á galla sem gerir kleift að senda stjórnskilaboð sem tengjast símtali og vinna úr þeim á stigi áður en notandinn tekur við símtalinu. Mælt var með WhatsApp að fjarlægja þennan eiginleika og sýnt var fram á að þegar farið var í óljós próf leiðir sending slíkra skilaboða til hruns á forritum, þ.e. Jafnvel á síðasta ári var vitað að það væru hugsanlegir veikleikar í kóðanum.
Eftir að hafa borið kennsl á fyrstu ummerki um málamiðlun tækisins á föstudaginn, byrjuðu verkfræðingar Facebook að þróa verndaraðferð, á sunnudaginn lokuðu þeir glufu á innviðastigi miðlarans með því að nota lausn og á mánudaginn hófu þeir að dreifa uppfærslu sem lagaði hugbúnað viðskiptavinarins. Ekki er enn ljóst hversu mörg tæki ráðist á með því að nota varnarleysið. Einungis var tilkynnt um árangurslausa tilraun á sunnudag til að brjóta á snjallsíma eins mannréttindafrömuðarins með aðferð sem minnir á tækni NSO Group, sem og tilraun til að ráðast á snjallsíma starfsmanns mannréttindasamtakanna Amnesty International.
Vandamálið var án óþarfa kynningar Ísraelska fyrirtækið NSO Group, sem gat notað varnarleysið til að setja upp njósnahugbúnað á snjallsímum til að veita eftirliti löggæslustofnana. NSO sagðist skoða viðskiptavini mjög vandlega (það virkar aðeins með löggæslu- og leyniþjónustustofnunum) og rannsaka allar kvartanir um misnotkun. Einkum hefur réttarhöld nú verið hafin í tengslum við skráðar árásir á WhatsApp.
NSO neitar aðild að tilteknum árásum og segist aðeins þróa tækni fyrir leyniþjónustustofnanir, en mannréttindafrömuðurinn ætlar að sanna fyrir dómstólum að fyrirtækið deili ábyrgð með viðskiptavinum sem misnota hugbúnaðinn sem þeim er veittur og selt vörur sínar til þjónustu sem þekkt er fyrir mannréttindabrot þeirra.
Facebook hóf rannsókn á hugsanlegri málamiðlun tækja og í síðustu viku deildi fyrstu niðurstöðum með bandaríska dómsmálaráðuneytinu í einkaeigu og tilkynnti einnig nokkrum mannréttindasamtökum um vandamálið til að samræma almenna vitund (það eru um 1.5 milljarðar WhatsApp uppsetningar um allan heim).
Heimild: opennet.ru