악성 코드 도입에 적합한 WhatsApp 애플리케이션의 심각한 취약점

중요한 정보
취약점 (CVE-2019-3568) WhatsApp 모바일 애플리케이션에서 특별히 설계된 음성 통화를 보내 코드를 실행할 수 있습니다. 공격이 성공하려면 악의적인 호출에 대한 응답이 필요하지 않으며 호출만으로 충분합니다. 그러나 이러한 통화는 통화 기록에 나타나지 않는 경우가 많으므로 사용자가 공격을 눈치 채지 못할 수도 있습니다.

이 취약점은 Signal 프로토콜과 관련이 없지만 WhatsApp 관련 VoIP 스택의 버퍼 오버플로로 인해 발생합니다. 이 문제는 특별히 설계된 일련의 SRTCP 패킷을 피해자의 장치에 보내면 악용될 수 있습니다. 이 취약점은 Android용 WhatsApp(2.19.134에서 수정됨), Android용 WhatsApp Business(2.19.44에서 수정됨), iOS용 WhatsApp(2.19.51), iOS용 WhatsApp Business(2.19.51), Windows Phone용 WhatsApp(2.18.348에서 수정됨)에 영향을 미칩니다. 2.18.15) 및 Tizen용 WhatsApp(XNUMX).

흥미롭게도 지난해에는 연구하다 보안 WhatsApp과 Facetime Project Zero는 사용자가 전화를 수락하기 전 단계에서 음성 통화와 관련된 제어 메시지를 전송하고 처리할 수 있는 결함에 주목했습니다. WhatsApp에서는 이 기능을 제거하도록 권장되었으며 퍼징 테스트를 수행할 때 이러한 메시지를 보내면 애플리케이션 충돌이 발생하는 것으로 나타났습니다. 지난해에도 코드에 잠재적인 취약점이 있다는 사실이 알려졌습니다.

Facebook 엔지니어들은 금요일에 장치 손상의 첫 번째 흔적을 확인한 후 보호 방법을 개발하기 시작했고, 일요일에는 해결 방법을 사용하여 서버 인프라 수준에서 허점을 차단했으며, 월요일에는 클라이언트 소프트웨어를 수정하는 업데이트를 배포하기 시작했습니다. 이 취약점을 이용해 얼마나 많은 장치가 공격을 받았는지는 아직 명확하지 않습니다. NSO 그룹 기술을 연상시키는 방법을 사용하여 인권 운동가 중 한 명의 스마트폰을 손상시키려는 시도와 인권 단체인 국제앰네스티(Amnesty International) 직원의 스마트폰을 공격하려는 시도가 일요일에 실패한 것으로 보고되었습니다.

문제는 불필요한 홍보가 없었다는 것 확인됨 이스라엘 회사 NSO 그룹은 이 취약점을 이용해 스마트폰에 스파이웨어를 설치해 법 집행 기관의 감시를 제공할 수 있었습니다. NSO는 고객을 매우 신중하게 선별하고(법 집행 기관 및 정보 기관과만 협력) 모든 학대 불만 사항을 조사한다고 말했습니다. 특히 WhatsApp에 대한 기록된 공격과 관련된 재판이 시작되었습니다.

NSO는 특정 공격에 대한 연루를 부인하고 정보 기관을 위한 기술 개발만을 주장하지만 피해자 인권 운동가는 회사가 제공된 소프트웨어를 남용하고 유명한 서비스에 제품을 판매한 고객과 책임을 공유한다는 것을 법정에서 증명할 계획입니다. 그들의 인권침해.

Facebook은 기기 손상 가능성에 대한 조사를 시작했으며 지난주 첫 번째 결과를 미국 법무부와 비공개로 공유했으며 대중의 인식을 조율하기 위해 여러 인권 단체에 이 문제에 대해 알렸습니다(전 세계적으로 약 1.5억 개의 WhatsApp 설치가 있음).

출처 : opennet.ru