ക്ഷുദ്രവെയർ അവതരിപ്പിക്കുന്നതിന് അനുയോജ്യമായ വാട്ട്‌സ്ആപ്പ് ആപ്ലിക്കേഷനിലെ ഗുരുതരമായ കേടുപാടുകൾ

നിർണായകമായതിനെക്കുറിച്ചുള്ള വിവരങ്ങൾ
പരാധീനതകൾ (CVE-2019-3568) പ്രത്യേകമായി രൂപകൽപ്പന ചെയ്‌ത വോയ്‌സ് കോൾ അയച്ചുകൊണ്ട് നിങ്ങളുടെ കോഡ് എക്‌സിക്യൂട്ട് ചെയ്യാൻ അനുവദിക്കുന്ന WhatsApp മൊബൈൽ ആപ്ലിക്കേഷനിൽ. വിജയകരമായ ആക്രമണത്തിന്, ക്ഷുദ്രകരമായ കോളിന് പ്രതികരണം ആവശ്യമില്ല; ഒരു കോൾ മതിയാകും. എന്നിരുന്നാലും, അത്തരമൊരു കോൾ പലപ്പോഴും കോൾ ലോഗിൽ ദൃശ്യമാകില്ല, മാത്രമല്ല ആക്രമണം ഉപയോക്താവിന്റെ ശ്രദ്ധയിൽപ്പെടാതെ പോയേക്കാം.

അപകടസാധ്യത സിഗ്നൽ പ്രോട്ടോക്കോളുമായി ബന്ധപ്പെട്ടതല്ല, എന്നാൽ WhatsApp-നിർദ്ദിഷ്ട VoIP സ്റ്റാക്കിലെ ബഫർ ഓവർഫ്ലോ മൂലമാണ് ഇത് സംഭവിക്കുന്നത്. ഇരയുടെ ഉപകരണത്തിലേക്ക് പ്രത്യേകം രൂപകൽപ്പന ചെയ്ത SRTCP പാക്കറ്റുകളുടെ ഒരു ശ്രേണി അയച്ചുകൊണ്ട് പ്രശ്നം പ്രയോജനപ്പെടുത്താം. ആൻഡ്രോയിഡിനുള്ള വാട്ട്‌സ്ആപ്പ് (2.19.134-ൽ പരിഹരിച്ചു), ആൻഡ്രോയിഡിനുള്ള വാട്ട്‌സ്ആപ്പ് ബിസിനസ് (2.19.44-ൽ പരിഹരിച്ചു), iOS-നുള്ള വാട്ട്‌സ്ആപ്പ് (2.19.51), iOS-നുള്ള വാട്ട്‌സ്ആപ്പ് ബിസിനസ് (2.19.51), വിൻഡോസ് ഫോണിനുള്ള വാട്ട്‌സ്ആപ്പ് (2.18.348-ൽ പരിഹരിച്ചത്) ഈ അപകടസാധ്യത ബാധിക്കുന്നു. 2.18.15), ടൈസണിനുള്ള വാട്ട്‌സ്ആപ്പ് (XNUMX).

രസകരമെന്നു പറയട്ടെ, കഴിഞ്ഞ വർഷം ഗവേഷണം സുരക്ഷ വാട്ട്‌സ്ആപ്പും ഫെയ്‌സ്‌ടൈം പ്രോജക്റ്റ് സീറോയും ഒരു വോയ്‌സ് കോളുമായി ബന്ധപ്പെട്ട നിയന്ത്രണ സന്ദേശങ്ങൾ ഉപയോക്താവ് കോൾ സ്വീകരിക്കുന്നതിന് മുമ്പായി ഘട്ടത്തിൽ അയയ്‌ക്കാനും പ്രോസസ്സ് ചെയ്യാനും അനുവദിക്കുന്ന ഒരു പിഴവിലേക്ക് ശ്രദ്ധ ആകർഷിച്ചു. ഈ ഫീച്ചർ നീക്കം ചെയ്യാൻ വാട്ട്‌സ്ആപ്പ് ശുപാർശ ചെയ്തു, ഒരു ഫസ്സിംഗ് ടെസ്റ്റ് നടത്തുമ്പോൾ, അത്തരം സന്ദേശങ്ങൾ അയയ്ക്കുന്നത് ആപ്ലിക്കേഷൻ ക്രാഷുകളിലേക്ക് നയിക്കുന്നു, അതായത്. കഴിഞ്ഞ വർഷം പോലും കോഡിൽ അപകടസാധ്യതകളുണ്ടെന്ന് അറിയാമായിരുന്നു.

വെള്ളിയാഴ്ച ഉപകരണ വിട്ടുവീഴ്ചയുടെ ആദ്യ സൂചനകൾ തിരിച്ചറിഞ്ഞതിന് ശേഷം, Facebook എഞ്ചിനീയർമാർ ഒരു സംരക്ഷണ രീതി വികസിപ്പിക്കാൻ തുടങ്ങി, ഞായറാഴ്ച അവർ ഒരു പരിഹാരമാർഗ്ഗം ഉപയോഗിച്ച് സെർവർ ഇൻഫ്രാസ്ട്രക്ചർ ലെവലിലെ പഴുതുകൾ തടഞ്ഞു, തിങ്കളാഴ്ച അവർ ക്ലയന്റ് സോഫ്‌റ്റ്‌വെയർ ശരിയാക്കുന്ന ഒരു അപ്‌ഡേറ്റ് വിതരണം ചെയ്യാൻ തുടങ്ങി. അപകടസാധ്യത ഉപയോഗിച്ച് എത്ര ഉപകരണങ്ങൾ ആക്രമിച്ചുവെന്ന് ഇതുവരെ വ്യക്തമായിട്ടില്ല. NSO ഗ്രൂപ്പ് സാങ്കേതികവിദ്യയെ അനുസ്മരിപ്പിക്കുന്ന രീതി ഉപയോഗിച്ച് മനുഷ്യാവകാശ പ്രവർത്തകരിലൊരാളുടെ സ്മാർട്ട്‌ഫോൺ വിട്ടുവീഴ്ച ചെയ്യാനുള്ള വിജയകരമായ ശ്രമവും മനുഷ്യാവകാശ സംഘടനയായ ആംനസ്റ്റി ഇന്റർനാഷണലിലെ ഒരു ജീവനക്കാരന്റെ സ്മാർട്ട്‌ഫോണിനെ ആക്രമിക്കാനുള്ള ശ്രമവും മാത്രമാണ് റിപ്പോർട്ട് ചെയ്ത ഏക റിപ്പോർട്ടുകൾ.

അനാവശ്യ പ്രചാരണം ഇല്ലാതെയായിരുന്നു പ്രശ്നം തിരിച്ചറിഞ്ഞു നിയമ നിർവ്വഹണ ഏജൻസികളുടെ നിരീക്ഷണം നൽകുന്നതിനായി സ്‌മാർട്ട്‌ഫോണുകളിൽ സ്‌പൈവെയർ ഇൻസ്റ്റാൾ ചെയ്യുന്നതിനുള്ള അപകടസാധ്യത ഉപയോഗിക്കാൻ കഴിഞ്ഞ ഇസ്രായേലി കമ്പനിയായ NSO ഗ്രൂപ്പ്. ഉപഭോക്താക്കളെ വളരെ ശ്രദ്ധയോടെ സ്‌ക്രീൻ ചെയ്യുന്നു (ഇത് നിയമ നിർവ്വഹണ ഏജൻസികളുമായും ഇന്റലിജൻസ് ഏജൻസികളുമായും മാത്രമേ പ്രവർത്തിക്കൂ) ദുരുപയോഗം സംബന്ധിച്ച എല്ലാ പരാതികളും അന്വേഷിക്കുന്നതായും NSO പറഞ്ഞു. പ്രത്യേകിച്ചും, വാട്ട്‌സ്ആപ്പിൽ റെക്കോർഡ് ചെയ്ത ആക്രമണങ്ങളുമായി ബന്ധപ്പെട്ട ഒരു വിചാരണ ഇപ്പോൾ ആരംഭിച്ചിട്ടുണ്ട്.

NSO പ്രത്യേക ആക്രമണങ്ങളിൽ പങ്കാളിത്തം നിഷേധിക്കുകയും ഇന്റലിജൻസ് ഏജൻസികൾക്കായി സാങ്കേതികവിദ്യ വികസിപ്പിക്കാൻ മാത്രം അവകാശവാദമുന്നയിക്കുകയും ചെയ്യുന്നു, എന്നാൽ ഇരയായ മനുഷ്യാവകാശ പ്രവർത്തകൻ കോടതിയിൽ തെളിയിക്കാൻ ഉദ്ദേശിക്കുന്നത്, അവർ നൽകിയ സോഫ്റ്റ്‌വെയർ ദുരുപയോഗം ചെയ്യുകയും അതിന്റെ ഉൽപ്പന്നങ്ങൾ അറിയപ്പെടുന്ന സേവനങ്ങൾക്ക് വിൽക്കുകയും ചെയ്യുന്ന ക്ലയന്റുകളുമായി കമ്പനി ഉത്തരവാദിത്തം പങ്കിടുന്നു. അവരുടെ മനുഷ്യാവകാശ ലംഘനങ്ങൾ.

ഉപകരണങ്ങളുടെ സാധ്യമായ വിട്ടുവീഴ്ചയെക്കുറിച്ച് ഫേസ്ബുക്ക് അന്വേഷണം ആരംഭിക്കുകയും കഴിഞ്ഞയാഴ്ച യുഎസ് നീതിന്യായ വകുപ്പുമായി സ്വകാര്യമായി ആദ്യ ഫലങ്ങൾ പങ്കിടുകയും പൊതുജന അവബോധം ഏകോപിപ്പിക്കുന്നതിന് നിരവധി മനുഷ്യാവകാശ സംഘടനകളെ അറിയിക്കുകയും ചെയ്തു (ലോകമെമ്പാടുമായി ഏകദേശം 1.5 ബില്യൺ WhatsApp ഇൻസ്റ്റാളേഷനുകൾ ഉണ്ട്).

അവലംബം: opennet.ru