ភាពងាយរងគ្រោះសំខាន់នៅក្នុងកម្មវិធី WhatsApp ដែលសមរម្យសម្រាប់ការណែនាំមេរោគ

ព័ត៌មានអំពីការរិះគន់
ភាពងាយរងគ្រោះ (CVE-2019-3568) នៅក្នុងកម្មវិធីទូរស័ព្ទ WhatsApp ដែលអនុញ្ញាតឱ្យអ្នកប្រតិបត្តិលេខកូដរបស់អ្នកដោយការផ្ញើការហៅជាសំឡេងដែលបានរចនាឡើងជាពិសេស។ សម្រាប់ការវាយប្រហារដោយជោគជ័យ ការឆ្លើយតបទៅនឹងការហៅទូរសព្ទដែលមានគំនិតអាក្រក់គឺមិនត្រូវបានទាមទារទេ។ ទោះជាយ៉ាងណាក៏ដោយ ការហៅទូរសព្ទបែបនេះច្រើនតែមិនបង្ហាញនៅក្នុងកំណត់ហេតុការហៅទេ ហើយការវាយប្រហារអាចនឹងមិនត្រូវបានកត់សម្គាល់ដោយអ្នកប្រើប្រាស់។

ភាពងាយរងគ្រោះមិនទាក់ទងនឹងពិធីការ Signal ទេ ប៉ុន្តែបណ្តាលមកពីការហៀរសំបោរនៅក្នុងជង់ VoIP ជាក់លាក់របស់ WhatsApp។ បញ្ហាអាចត្រូវបានកេងប្រវ័ញ្ចដោយការផ្ញើកញ្ចប់កញ្ចប់ SRTCP ដែលត្រូវបានរចនាឡើងយ៉ាងពិសេសទៅកាន់ឧបករណ៍របស់ជនរងគ្រោះ។ ភាពងាយរងគ្រោះប៉ះពាល់ដល់ WhatsApp សម្រាប់ Android (ជួសជុលក្នុង 2.19.134), WhatsApp Business សម្រាប់ Android (ជួសជុលក្នុង 2.19.44), WhatsApp សម្រាប់ iOS (2.19.51), WhatsApp Business សម្រាប់ iOS (2.19.51), WhatsApp សម្រាប់ Windows Phone ( 2.18.348) និង WhatsApp សម្រាប់ Tizen (2.18.15) ។

គួរឱ្យចាប់អារម្មណ៍កាលពីឆ្នាំមុន ការស្រាវជ្រាវ សន្តិសុខ WhatsApp និង Facetime Project Zero បានទាក់ទាញការយកចិត្តទុកដាក់ចំពោះកំហុសដែលអនុញ្ញាតឱ្យសារបញ្ជាដែលភ្ជាប់ជាមួយនឹងការហៅជាសំឡេងត្រូវបានផ្ញើ និងដំណើរការនៅដំណាក់កាល មុនពេលអ្នកប្រើប្រាស់ទទួលយកការហៅទូរសព្ទ។ WhatsApp ត្រូវបានផ្ដល់អនុសាសន៍ឱ្យលុបមុខងារនេះចេញ ហើយវាត្រូវបានបង្ហាញថានៅពេលធ្វើតេស្ត fuzzing ការផ្ញើសារបែបនេះនាំឱ្យកម្មវិធីគាំង ពោលគឺឧ។ សូម្បីតែកាលពីឆ្នាំមុន វាត្រូវបានគេដឹងថាមានភាពងាយរងគ្រោះដែលអាចកើតមាននៅក្នុងកូដ។

បន្ទាប់ពីរកឃើញដានដំបូងនៃការសម្របសម្រួលឧបករណ៍កាលពីថ្ងៃសុក្រ វិស្វករ Facebook បានចាប់ផ្តើមបង្កើតវិធីសាស្ត្រការពារមួយកាលពីថ្ងៃអាទិត្យពួកគេបានបិទចន្លោះប្រហោងនៅកម្រិតហេដ្ឋារចនាសម្ព័ន្ធម៉ាស៊ីនមេដោយប្រើវិធីដោះស្រាយ ហើយនៅថ្ងៃច័ន្ទពួកគេបានចាប់ផ្តើមចែកចាយបច្ចុប្បន្នភាពដែលជួសជុលកម្មវិធីអតិថិជន។ វាមិនទាន់ច្បាស់ថាតើមានឧបករណ៍ប៉ុន្មានត្រូវបានវាយប្រហារដោយប្រើភាពងាយរងគ្រោះនោះទេ។ របាយការណ៍តែមួយគត់ដែលត្រូវបានរាយការណ៍គឺជាការប៉ុនប៉ងមិនជោគជ័យកាលពីថ្ងៃអាទិត្យដើម្បីសម្របសម្រួលស្មាតហ្វូនរបស់សកម្មជនសិទ្ធិមនុស្សម្នាក់ដោយប្រើវិធីសាស្រ្តរំលឹកពីបច្ចេកវិទ្យា NSO Group ក៏ដូចជាការប៉ុនប៉ងវាយប្រហារស្មាតហ្វូនរបស់បុគ្គលិកនៃអង្គការសិទ្ធិមនុស្ស Amnesty International ។

បញ្ហា​គឺ​គ្មាន​ការ​ផ្សព្វផ្សាយ​ដែល​មិន​ចាំបាច់ កំណត់អត្តសញ្ញាណ ក្រុមហ៊ុនអ៊ីស្រាអែល NSO Group ដែលអាចប្រើប្រាស់ភាពងាយរងគ្រោះក្នុងការដំឡើង spyware នៅលើស្មាតហ្វូន ដើម្បីផ្តល់ការឃ្លាំមើលដោយភ្នាក់ងារអនុវត្តច្បាប់។ NSO បាននិយាយថា វាពិនិត្យអតិថិជនយ៉ាងប្រុងប្រយ័ត្ន (វាដំណើរការតែជាមួយភ្នាក់ងារអនុវត្តច្បាប់ និងភ្នាក់ងារស៊ើបការណ៍សម្ងាត់ប៉ុណ្ណោះ) និងស៊ើបអង្កេតរាល់ពាក្យបណ្តឹងនៃការរំលោភបំពាន។ ជាពិសេស ការសាកល្បងមួយត្រូវបានផ្តួចផ្តើមឡើងទាក់ទងនឹងការវាយប្រហារដែលបានកត់ត្រានៅលើ WhatsApp ។

NSO បដិសេធការជាប់ពាក់ព័ន្ធក្នុងការវាយប្រហារជាក់លាក់ ហើយអះអាងថាគ្រាន់តែអភិវឌ្ឍបច្ចេកវិទ្យាសម្រាប់ទីភ្នាក់ងារស៊ើបការណ៍សម្ងាត់ប៉ុណ្ណោះ ប៉ុន្តែសកម្មជនសិទ្ធិមនុស្សដែលជាជនរងគ្រោះមានបំណងបង្ហាញនៅក្នុងតុលាការថាក្រុមហ៊ុនបានចែករំលែកការទទួលខុសត្រូវជាមួយអតិថិជនដែលបំពានកម្មវិធីដែលបានផ្តល់ឱ្យពួកគេ ហើយលក់ផលិតផលរបស់ខ្លួនទៅសេវាកម្មដែលគេស្គាល់សម្រាប់ ការរំលោភសិទ្ធិមនុស្សរបស់ពួកគេ។

Facebook បានចាប់ផ្តើមការស៊ើបអង្កេតលើការសម្របសម្រួលដែលអាចកើតមាននៃឧបករណ៍ ហើយកាលពីសប្តាហ៍មុនបានចែករំលែកលទ្ធផលដំបូងជាឯកជនជាមួយក្រសួងយុត្តិធម៌សហរដ្ឋអាមេរិក ហើយក៏បានជូនដំណឹងដល់អង្គការសិទ្ធិមនុស្សមួយចំនួនអំពីបញ្ហាដើម្បីសម្របសម្រួលការយល់ដឹងជាសាធារណៈ (មានការដំឡើង WhatsApp ប្រហែល 1.5 ពាន់លាននៅទូទាំងពិភពលោក) ។

ប្រភព: opennet.ru