ຊ່ອງ​ໂຫວ່​ທີ່​ສຳຄັນ​ໃນ​ແອັບ​ພ​ລິ​ເຄ​ຊັນ WhatsApp, ເໝາະ​ສົມ​ກັບ​ການ​ນຳ​ມາ​ລັອດ​ແວ

ຂໍ້ມູນກ່ຽວກັບທີ່ສໍາຄັນ
ຄວາມອ່ອນແອ (CVE-2019-3568) ໃນແອັບພລິເຄຊັນມືຖື WhatsApp, ເຊິ່ງຊ່ວຍໃຫ້ທ່ານສາມາດປະຕິບັດລະຫັດຂອງທ່ານໄດ້ໂດຍການສົ່ງການໂທສຽງທີ່ອອກແບບມາໂດຍສະເພາະ. ສໍາລັບການໂຈມຕີທີ່ປະສົບຜົນສໍາເລັດ, ການຕອບສະຫນອງຕໍ່ການໂທທີ່ເປັນອັນຕະລາຍແມ່ນບໍ່ຈໍາເປັນ; ການໂທຫາແມ່ນພຽງພໍ. ຢ່າງໃດກໍຕາມ, ການໂທດັ່ງກ່າວມັກຈະບໍ່ປາກົດຢູ່ໃນບັນທຶກການໂທແລະການໂຈມຕີອາດຈະໄປໂດຍບໍ່ໄດ້ສັງເກດເຫັນໂດຍຜູ້ໃຊ້.

ຊ່ອງໂຫວ່ບໍ່ກ່ຽວຂ້ອງກັບໂປຣໂຕຄໍ Signal, ແຕ່ເກີດມາຈາກ buffer overflow ຢູ່ໃນ stack VoIP ສະເພາະ WhatsApp. ບັນຫາສາມາດຖືກຂູດຮີດໂດຍການສົ່ງຊຸດຊຸດ SRTCP ທີ່ອອກແບບພິເສດໄປຫາອຸປະກອນຂອງຜູ້ຖືກເຄາະຮ້າຍ. ຊ່ອງໂຫວ່ມີຜົນຕໍ່ WhatsApp ສໍາລັບ Android (ແກ້ໄຂໃນ 2.19.134), WhatsApp Business ສໍາລັບ Android (ແກ້ໄຂໃນ 2.19.44), WhatsApp ສໍາລັບ iOS (2.19.51), WhatsApp Business ສໍາລັບ iOS (2.19.51), WhatsApp ສໍາລັບ Windows Phone ( 2.18.348) ແລະ WhatsApp ສໍາລັບ Tizen (2.18.15).

ຫນ້າສົນໃຈ, ໃນປີທີ່ຜ່ານມາ ການຄົ້ນຄວ້າ ຄວາມປອດໄພ WhatsApp ແລະ Facetime Project Zero ໄດ້ດຶງດູດຄວາມສົນໃຈຕໍ່ກັບຂໍ້ບົກພ່ອງທີ່ອະນຸຍາດໃຫ້ຂໍ້ຄວາມຄວບຄຸມທີ່ກ່ຽວຂ້ອງກັບການໂທສຽງຖືກສົ່ງແລະດໍາເນີນການຢູ່ໃນຂັ້ນຕອນກ່ອນທີ່ຜູ້ໃຊ້ຈະຍອມຮັບການໂທ. WhatsApp ໄດ້ຖືກແນະນໍາໃຫ້ເອົາຄຸນສົມບັດນີ້ອອກແລະໄດ້ສະແດງໃຫ້ເຫັນວ່າໃນເວລາທີ່ດໍາເນີນການທົດສອບ fuzzing, ສົ່ງຂໍ້ຄວາມດັ່ງກ່າວນໍາໄປສູ່ການຂັດຂ້ອງຂອງຄໍາຮ້ອງສະຫມັກ, i.e. ເຖິງແມ່ນວ່າປີທີ່ຜ່ານມາມັນເປັນທີ່ຮູ້ຈັກວ່າມີຈຸດອ່ອນທີ່ອາດຈະເກີດຂື້ນໃນລະຫັດ.

ຫຼັງຈາກໄດ້ກໍານົດຮ່ອງຮອຍທໍາອິດຂອງການປະນີປະນອມອຸປະກອນໃນວັນສຸກ, ວິສະວະກອນຂອງ Facebook ໄດ້ເລີ່ມພັດທະນາວິທີການປ້ອງກັນ, ໃນວັນອາທິດພວກເຂົາໄດ້ສະກັດຊ່ອງຫວ່າງໃນລະດັບໂຄງສ້າງຂອງເຄື່ອງແມ່ຂ່າຍໂດຍໃຊ້ວິທີການແກ້ໄຂ, ແລະໃນວັນຈັນພວກເຂົາເລີ່ມແຈກຢາຍການປັບປຸງທີ່ແກ້ໄຂຊອບແວຂອງລູກຄ້າ. ຍັງບໍ່ທັນເປັນທີ່ຈະແຈ້ງເທື່ອວ່າມີຈັກອຸປະກອນຖືກໂຈມຕີໂດຍໃຊ້ຊ່ອງໂຫວ່. ລາຍງານພຽງຢ່າງດຽວທີ່ໄດ້ລາຍງານແມ່ນຄວາມພະຍາຍາມທີ່ບໍ່ປະສົບຜົນສຳເລັດໃນວັນອາທິດວານນີ້ ເພື່ອປະນີປະນອມໂທລະສັບສະມາດໂຟນຂອງນັກເຄື່ອນໄຫວສິດທິມະນຸດຄົນໜຶ່ງ ໂດຍໃຊ້ວິທີການລະນຶກເຖິງເທັກໂນໂລຢີຂອງກຸ່ມ NSO, ເຊັ່ນດຽວກັນກັບການພະຍາຍາມໂຈມຕີສະມາດໂຟນຂອງພະນັກງານຂອງອົງການນິລະໂທດກຳສາກົນ.

ບັນຫາແມ່ນບໍ່ມີການເຜີຍແຜ່ທີ່ບໍ່ຈໍາເປັນ ກໍານົດ ບໍລິສັດອິດສະລາແອນ NSO Group, ເຊິ່ງສາມາດນໍາໃຊ້ຈຸດອ່ອນໃນການຕິດຕັ້ງ spyware ໃນໂທລະສັບສະຫຼາດເພື່ອສະຫນອງການເຝົ້າລະວັງໂດຍອົງການບັງຄັບໃຊ້ກົດຫມາຍ. NSO ກ່າວວ່າມັນກວດສອບລູກຄ້າຢ່າງລະມັດລະວັງ (ມັນພຽງແຕ່ເຮັດວຽກກັບອົງການບັງຄັບໃຊ້ກົດຫມາຍແລະອົງການສືບລັບ) ແລະສືບສວນການຮ້ອງທຸກກ່ຽວກັບການລ່ວງລະເມີດ. ໂດຍສະເພາະ, ໃນປັດຈຸບັນການທົດລອງໄດ້ຖືກລິເລີ່ມທີ່ກ່ຽວຂ້ອງກັບການໂຈມຕີທີ່ບັນທຶກໄວ້ໃນ WhatsApp.

NSO ປະຕິເສດການມີສ່ວນຮ່ວມໃນການໂຈມຕີສະເພາະ ແລະອ້າງພຽງແຕ່ການພັດທະນາເທັກໂນໂລຍີສຳລັບອົງການສືບລັບ, ແຕ່ນັກເຄື່ອນໄຫວສິດທິມະນຸດຜູ້ເຄາະຮ້າຍຕັ້ງໃຈພິສູດໃນສານວ່າບໍລິສັດແບ່ງປັນຄວາມຮັບຜິດຊອບກັບລູກຄ້າທີ່ລ່ວງລະເມີດຊອບແວທີ່ສະໜອງໃຫ້, ແລະຂາຍຜະລິດຕະພັນຂອງຕົນໃຫ້ກັບບໍລິການທີ່ຮູ້ຈັກ. ການລະເມີດສິດທິມະນຸດຂອງເຂົາເຈົ້າ.

ເຟສບຸກໄດ້ລິເລີ່ມການສືບສວນກ່ຽວກັບການປະນີປະນອມທີ່ເປັນໄປໄດ້ຂອງອຸປະກອນຕ່າງໆແລະໃນອາທິດທີ່ຜ່ານມາສ່ວນຕົວໄດ້ແບ່ງປັນຜົນໄດ້ຮັບຄັ້ງທໍາອິດກັບກະຊວງຍຸຕິທໍາຂອງສະຫະລັດ, ແລະຍັງໄດ້ແຈ້ງໃຫ້ອົງການສິດທິມະນຸດຈໍານວນຫນຶ່ງກ່ຽວກັບບັນຫາເພື່ອປະສານງານການຮັບຮູ້ສາທາລະນະ (ມີປະມານ 1.5 ຕື້ການຕິດຕັ້ງ WhatsApp ທົ່ວໂລກ).

ແຫຼ່ງຂໍ້ມູນ: opennet.ru