मालवेयरको परिचयको लागि उपयुक्त WhatsApp अनुप्रयोगमा गम्भीर जोखिम

क्रिटिकल बारे जानकारी
कमजोरीहरू (CVE-2019-3568) WhatsApp मोबाइल अनुप्रयोगमा, जसले तपाईंलाई विशेष रूपमा डिजाइन गरिएको भ्वाइस कल पठाएर आफ्नो कोड कार्यान्वयन गर्न अनुमति दिन्छ। सफल आक्रमणको लागि, खराब कलको प्रतिक्रिया आवश्यक छैन; कल पर्याप्त छ। यद्यपि, यस्तो कल अक्सर कल लग मा देखा पर्दैन र आक्रमण प्रयोगकर्ता द्वारा बेवास्ता हुन सक्छ।

जोखिम सिग्नल प्रोटोकलसँग सम्बन्धित छैन, तर व्हाट्सएप-विशिष्ट VoIP स्ट्याकमा बफर ओभरफ्लोको कारणले हुन्छ। पीडितको यन्त्रमा विशेष रूपमा डिजाइन गरिएको SRTCP प्याकेटहरू पठाएर समस्याको शोषण गर्न सकिन्छ। असुरक्षाले एन्ड्रोइडका लागि व्हाट्सएप (२.१९.१३४ मा फिक्स्ड), एन्ड्रोइडका लागि व्हाट्सएप बिजनेस (२.१९.४४ मा फिक्स्ड), आईओएसका लागि व्हाट्सएप (२.१९.५१), आईओएसका लागि व्हाट्सएप बिजनेस (२.१९.५१), विन्डोज फोनका लागि व्हाट्सएपलाई असर गर्छ। 2.19.134) र Tizen (2.19.44) को लागि WhatsApp।

चाखलाग्दो कुरा, गत वर्षमा अनुसन्धान सुरक्षा WhatsApp र Facetime Project Zero ले भ्वाइस कलसँग सम्बन्धित कन्ट्रोल म्यासेजहरूलाई प्रयोगकर्ताले कल स्वीकार गर्नुअघि नै चरणमा पठाउन र प्रशोधन गर्न अनुमति दिने त्रुटितर्फ ध्यानाकर्षण गरायो। व्हाट्सएपलाई यो सुविधा हटाउन सिफारिस गरिएको थियो र यो देखाइएको थियो कि फजिङ परीक्षण सञ्चालन गर्दा, त्यस्ता सन्देशहरू पठाउँदा अनुप्रयोग क्र्यास हुन्छ, अर्थात्। गत वर्ष पनि यो थाहा थियो कि कोडमा सम्भावित कमजोरीहरू थिए।

शुक्रबार यन्त्र सम्झौताको पहिलो ट्रेसहरू पहिचान गरेपछि, फेसबुक इन्जिनियरहरूले सुरक्षा विधि विकास गर्न थाले, आइतवार तिनीहरूले सर्भर पूर्वाधार स्तरमा वर्कअराउन्ड प्रयोग गरेर लुफोललाई अवरुद्ध गरे, र सोमबार उनीहरूले क्लाइन्ट सफ्टवेयर फिक्स गर्ने अपडेट वितरण गर्न थाले। यो अझै स्पष्ट छैन कि कति उपकरणहरू जोखिम प्रयोग गरेर आक्रमण गरियो। एनएसओ ग्रुप टेक्नोलोजीको सम्झना दिलाउने विधि प्रयोग गरी मानव अधिकारकर्मीहरू मध्ये एकको स्मार्टफोनमा सम्झौता गर्ने र मानवअधिकार संगठन एम्नेस्टी इन्टरनेसनलका कर्मचारीको स्मार्टफोनमा आक्रमण गर्ने प्रयासको असफल प्रयास आइतबार मात्र रिपोर्ट गरिएको थियो।

समस्या अनावश्यक प्रचार बिना थियो पहिचान गरियो इजरायली कम्पनी NSO समूह, जसले कानून प्रवर्तन एजेन्सीहरू द्वारा निगरानी प्रदान गर्न स्मार्टफोनहरूमा स्पाइवेयर स्थापना गर्न जोखिम प्रयोग गर्न सक्षम थियो। NSO ले भन्यो कि यसले ग्राहकहरूलाई धेरै सावधानीपूर्वक स्क्रिन गर्दछ (यसले कानून प्रवर्तन र खुफिया एजेन्सीहरूसँग मात्र काम गर्दछ) र दुरुपयोगका सबै गुनासोहरूको छानबिन गर्दछ। विशेष गरी, अहिले व्हाट्सएपमा रेकर्ड गरिएका आक्रमणहरूसँग सम्बन्धित परीक्षण सुरु गरिएको छ।

एनएसओले विशेष आक्रमणहरूमा संलग्नता अस्वीकार गर्दछ र केवल गुप्तचर एजेन्सीहरूको लागि प्रविधि विकास गर्ने दाबी गर्दछ, तर पीडित मानव अधिकार कार्यकर्ताले अदालतमा प्रमाणित गर्न चाहन्छन् कि कम्पनीले उनीहरूलाई प्रदान गरिएको सफ्टवेयरको दुरुपयोग गर्ने ग्राहकहरूसँग जिम्मेवारी बाँड्छ, र आफ्ना उत्पादनहरू सेवाहरूमा बेचेको छ। उनीहरूको मानवअधिकार उल्लङ्घन।

फेसबुकले उपकरणहरूको सम्भावित सम्झौताको बारेमा अनुसन्धान सुरु गर्‍यो र गत हप्ता निजी रूपमा अमेरिकी न्याय विभागसँग पहिलो नतिजा साझा गर्‍यो, र जनचेतनाको समन्वय गर्न समस्याको बारेमा धेरै मानवअधिकार संगठनहरूलाई पनि सूचित गर्‍यो (विश्वभरि लगभग 1.5 बिलियन व्हाट्सएप स्थापनाहरू छन्)।

स्रोत: opennet.ru