פגיעות קריטית באפליקציית WhatsApp מתאימה להזרקת תוכנות זדוניות

מידע על קריטי
פגיעות (CVE-2019-3568) באפליקציית WhatsApp לנייד, המאפשרת לך לבצע את הקוד שלך על ידי שליחת שיחה קולית שתוכננה במיוחד. להתקפה מוצלחת, אין צורך בתגובה לשיחה זדונית, מספיקה שיחה. עם זאת, שיחה כזו לרוב לא מופיעה ביומן השיחות וההתקפה עלולה להיעלם מעיני המשתמש.

הפגיעות אינה קשורה לפרוטוקול Signal, אלא נגרמת על ידי הצפת חיץ בערימת ה-VoIP הספציפית ל-WhatsApp. ניתן לנצל את הבעיה על ידי שליחת סדרה שתוכננה במיוחד של מנות SRTCP למכשיר של הקורבן. הפגיעות משפיעה על WhatsApp לאנדרואיד (תוקן ב-2.19.134), WhatsApp Business לאנדרואיד (תוקן ב-2.19.44), WhatsApp ל-iOS (2.19.51), WhatsApp Business ל-iOS (2.19.51), WhatsApp ל-Windows Phone ( 2.18.348) ו-WhatsApp לטיזן (2.18.15).

מעניין שבשנה שעברה מחקר אבטחה WhatsApp ו-Facetime Project Zero הסבו את תשומת הלב לפגם המאפשר שליחת ועיבוד הודעות בקרה הקשורות לשיחה קולית בשלב שלפני שהמשתמש מקבל את השיחה. הומלץ לוואטסאפ להסיר תכונה זו והוכח כי בעת ביצוע בדיקת מטושטש, שליחת הודעות מסוג זה גורמת לקריסות אפליקציה, כלומר. אפילו בשנה שעברה היה ידוע שישנן נקודות תורפה פוטנציאליות בקוד.

לאחר זיהוי העקבות הראשונים של התפשרות במכשיר ביום שישי, מהנדסי פייסבוק החלו לפתח שיטת הגנה, ביום ראשון חסמו את הפרצה ברמת תשתית השרת באמצעות מעקף, וביום שני החלו להפיץ עדכון שתיקן את תוכנת הלקוח. עדיין לא ברור כמה מכשירים הותקפו באמצעות הפגיעות. רק ניסיון לא מוצלח דווח ביום ראשון לסכן את הסמארטפון של אחד מפעילי זכויות האדם בשיטה המזכירה את הטכנולוגיה של NSO Group, וכן ניסיון לתקוף את הסמארטפון של עובד ארגון זכויות האדם אמנסטי אינטרנשיונל.

הבעיה הייתה ללא פרסום מיותר מזוהה החברה הישראלית NSO Group, שהצליחה להשתמש בפגיעות להתקנת תוכנות ריגול בסמארטפונים כדי לספק מעקב על ידי רשויות אכיפת החוק. NSO אמרה כי היא בודקת לקוחות בקפידה רבה (היא עובדת רק עם רשויות אכיפת חוק ומודיעין) וחוקרת את כל התלונות על התעללות. בפרט, נפתח כעת משפט הקשור להתקפות מוקלטות בוואטסאפ.

NSO מכחישה מעורבות במתקפות ספציפיות וטוענת רק לפיתוח טכנולוגיה עבור סוכנויות ביון, אך פעיל זכויות האדם הקורבן מתכוון להוכיח בבית המשפט שהחברה חולקת אחריות עם לקוחות המנצלים לרעה את התוכנה שסופקה להם, ומכרה את מוצריה לשירותים הידועים בשל הפרות זכויות האדם שלהם.

פייסבוק יזמה חקירה לגבי פשרה אפשרית של מכשירים ובשבוע שעבר שיתפה באופן פרטי את התוצאות הראשונות עם משרד המשפטים האמריקאי, וכן הודיעה לכמה ארגוני זכויות אדם על הבעיה כדי לתאם מודעות ציבורית (יש כ-1.5 מיליארד התקנות וואטסאפ ברחבי העולם).

מקור: OpenNet.ru