Критична ранливост во апликацијата WhatsApp, погодна за воведување малициозен софтвер

Информации за критични
ранливости (CVE-2019-3568) во мобилната апликација WhatsApp, која ви овозможува да го извршите вашиот код со испраќање специјално дизајниран гласовен повик. За успешен напад, не е потребен одговор на злонамерен повик. Сепак, таквиот повик често не се појавува во дневникот на повици и нападот може да остане незабележан од корисникот.

Ранливоста не е поврзана со протоколот Signal, туку е предизвикана од прелевање на баферот во оџакот VoIP специфичен за WhatsApp. Проблемот може да се искористи со испраќање на специјално дизајнирана серија SRTCP пакети до уредот на жртвата. Ранливоста влијае на WhatsApp за Android (поправен во 2.19.134), WhatsApp Business за Android (поправен во 2.19.44), WhatsApp за iOS (2.19.51), WhatsApp Business за iOS (2.19.51), WhatsApp за Windows Phone ( 2.18.348) и WhatsApp за Tizen (2.18.15).

Интересно, во минатата година истражување Безбедност WhatsApp и Facetime Project Zero го привлекоа вниманието на пропустот што дозволува контролните пораки поврзани со гласовен повик да се испраќаат и обработуваат на сцената пред корисникот да го прифати повикот. На WhatsApp му беше препорачано да ја отстрани оваа функција и се покажа дека при спроведување на тест за замаглување, испраќањето такви пораки доведува до паѓање на апликацијата, т.е. Уште минатата година се знаеше дека има потенцијални пропусти во кодот.

Откако ги идентификуваа првите траги од компромис на уредот во петокот, инженерите на Фејсбук почнаа да развиваат метод за заштита, во неделата ја блокираа дупката на ниво на инфраструктура на серверот користејќи заобиколување, а во понеделникот почнаа да дистрибуираат ажурирање што го поправи софтверот на клиентот. Сè уште не е јасно колку уреди биле нападнати користејќи ја ранливоста. Единствените извештаи беа објавени за неуспешен обид во неделата да се компромитира паметниот телефон на еден од активистите за човекови права користејќи метод што потсетува на технологијата на NSO Group, како и обид за напад на паметен телефон на вработен во организацијата за човекови права Амнести интернешнал.

Проблемот беше без непотребен публицитет идентификувани Израелската компанија NSO Group, која можеше да ја искористи ранливоста за да инсталира шпионски софтвер на паметни телефони за да обезбеди надзор од страна на агенциите за спроведување на законот. NSO рече дека ги прегледува клиентите многу внимателно (соработува само со агенциите за спроведување на законот и разузнавањето) и ги истражува сите поплаки за злоупотреба. Конкретно, сега е започнато судење поврзано со снимени напади на WhatsApp.

NSO негира вмешаност во конкретни напади и тврди дека развива технологија само за разузнавачките агенции, но жртвата активист за човекови права има намера да докаже на суд дека компанијата ја дели одговорноста со клиентите кои го злоупотребуваат софтверот што им е даден и ги продаваат своите производи на услуги познати по нивните кршења на човековите права.

Facebook иницираше истрага за можниот компромис на уредите и минатата недела приватно ги сподели првите резултати со американското Министерство за правда, а исто така извести неколку организации за човекови права за проблемот за да ја координираат јавната свест (има околу 1.5 милијарди инсталации на WhatsApp ширум светот).

Извор: opennet.ru