Informācija par kritisko
(CVE-2019-3568) WhatsApp mobilajā aplikācijā, kas ļauj izpildīt savu kodu, nosūtot īpaši izstrādātu balss zvanu. Lai uzbrukums būtu veiksmīgs, atbilde uz ļaunprātīgu zvanu nav nepieciešama, pietiek ar zvanu. Taču bieži vien šāds zvans neparādās zvanu žurnālā un uzbrukums var palikt lietotājam nepamanīts.
Ievainojamība nav saistīta ar protokolu Signal, bet to izraisa bufera pārpilde WhatsApp specifiskajā VoIP kaudzē. Problēmu var izmantot, nosūtot īpaši izstrādātu SRTCP pakešu sēriju uz upura ierīci. Ievainojamība ietekmē WhatsApp for Android (labots versijā 2.19.134), WhatsApp Business for Android (labots 2.19.44), WhatsApp for iOS (2.19.51), WhatsApp Business for iOS (2.19.51), WhatsApp for Windows Phone ( 2.18.348) un WhatsApp for Tizen (2.18.15).
Interesanti, ka pagājušajā gadā WhatsApp un Facetime Project Zero vērsa uzmanību uz trūkumu, kas ļauj nosūtīt un apstrādāt vadības ziņojumus, kas saistīti ar balss zvanu, posmā, pirms lietotājs pieņem zvanu. WhatsApp tika ieteikts noņemt šo funkciju un tika parādīts, ka, veicot izplūdušo testu, šādu ziņojumu nosūtīšana noved pie lietojumprogrammu avārijām, t.i. Pat pagājušajā gadā bija zināms, ka kodā ir iespējamas ievainojamības.
Pēc tam, kad piektdien tika identificētas pirmās ierīces kompromitēšanas pēdas, Facebook inženieri sāka izstrādāt aizsardzības metodi, svētdien viņi bloķēja nepilnību servera infrastruktūras līmenī, izmantojot risinājumu, un pirmdien viņi sāka izplatīt atjauninājumu, kas laboja klienta programmatūru. Pagaidām nav skaidrs, cik ierīcēm tika uzbrukts, izmantojot ievainojamību. Svētdien ziņots tikai par neveiksmīgu mēģinājumu kompromitēt viena cilvēktiesību aktīvistu viedtālruni, izmantojot metodi, kas atgādina NSO Group tehnoloģiju, kā arī mēģinājumu uzbrukt cilvēktiesību organizācijas Amnesty International darbinieka viedtālrunim.
Problēma bija bez liekas publicitātes Izraēlas uzņēmums NSO Group, kas varēja izmantot ievainojamību, lai viedtālruņos instalētu spiegprogrammatūru, lai nodrošinātu tiesībaizsardzības iestāžu uzraudzību. NSO teica, ka tā ļoti rūpīgi pārbauda klientus (sadarbojas tikai ar tiesībaizsardzības un izlūkošanas aģentūrām) un izmeklē visas sūdzības par ļaunprātīgu izmantošanu. Jo īpaši tagad ir uzsākts izmēģinājums saistībā ar reģistrētiem uzbrukumiem vietnei WhatsApp.
NSO noliedz līdzdalību konkrētos uzbrukumos un apgalvo tikai tehnoloģiju izstrādi izlūkošanas aģentūrām, taču cietušais cilvēktiesību aktīvists grasās tiesā pierādīt, ka uzņēmums dala atbildību ar klientiem, kuri ļaunprātīgi izmanto viņiem piegādāto programmatūru un pārdeva savus produktus pakalpojumiem, kas pazīstami ar viņu cilvēktiesību pārkāpumiem.
Facebook uzsāka izmeklēšanu par iespējamo ierīču kompromitēšanu un pagājušajā nedēļā privāti dalījās pirmajos rezultātos ar ASV Tieslietu departamentu, kā arī informēja vairākas cilvēktiesību organizācijas par problēmu, lai koordinētu sabiedrības informētību (visā pasaulē ir aptuveni 1.5 miljardi WhatsApp instalāciju).
Avots: opennet.ru