WhatsApp ਐਪਲੀਕੇਸ਼ਨ ਵਿੱਚ ਗੰਭੀਰ ਕਮਜ਼ੋਰੀ, ਮਾਲਵੇਅਰ ਦੀ ਸ਼ੁਰੂਆਤ ਲਈ ਢੁਕਵੀਂ

ਨਾਜ਼ੁਕ ਬਾਰੇ ਜਾਣਕਾਰੀ
ਕਮਜ਼ੋਰੀਆਂ (CVE-2019-3568) WhatsApp ਮੋਬਾਈਲ ਐਪਲੀਕੇਸ਼ਨ ਵਿੱਚ, ਜੋ ਤੁਹਾਨੂੰ ਇੱਕ ਵਿਸ਼ੇਸ਼ ਤੌਰ 'ਤੇ ਡਿਜ਼ਾਈਨ ਕੀਤੀ ਵੌਇਸ ਕਾਲ ਭੇਜ ਕੇ ਆਪਣੇ ਕੋਡ ਨੂੰ ਚਲਾਉਣ ਦੀ ਆਗਿਆ ਦਿੰਦੀ ਹੈ। ਇੱਕ ਸਫਲ ਹਮਲੇ ਲਈ, ਇੱਕ ਖਤਰਨਾਕ ਕਾਲ ਦੇ ਜਵਾਬ ਦੀ ਲੋੜ ਨਹੀਂ ਹੈ; ਇੱਕ ਕਾਲ ਕਾਫ਼ੀ ਹੈ। ਹਾਲਾਂਕਿ, ਅਜਿਹੀ ਕਾਲ ਅਕਸਰ ਕਾਲ ਲੌਗ ਵਿੱਚ ਦਿਖਾਈ ਨਹੀਂ ਦਿੰਦੀ ਅਤੇ ਹਮਲਾਵਰ ਦੁਆਰਾ ਅਣਦੇਖਿਆ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ।

ਕਮਜ਼ੋਰੀ ਸਿਗਨਲ ਪ੍ਰੋਟੋਕੋਲ ਨਾਲ ਸਬੰਧਤ ਨਹੀਂ ਹੈ, ਪਰ WhatsApp-ਵਿਸ਼ੇਸ਼ VoIP ਸਟੈਕ ਵਿੱਚ ਇੱਕ ਬਫਰ ਓਵਰਫਲੋ ਕਾਰਨ ਹੁੰਦੀ ਹੈ। ਪੀੜਤ ਦੇ ਡਿਵਾਈਸ ਨੂੰ SRTCP ਪੈਕੇਟਾਂ ਦੀ ਵਿਸ਼ੇਸ਼ ਤੌਰ 'ਤੇ ਤਿਆਰ ਕੀਤੀ ਗਈ ਲੜੀ ਭੇਜ ਕੇ ਸਮੱਸਿਆ ਦਾ ਸ਼ੋਸ਼ਣ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ। ਕਮਜ਼ੋਰੀ Android ਲਈ WhatsApp (2.19.134 ਵਿੱਚ ਫਿਕਸਡ), Android ਲਈ WhatsApp Business (2.19.44 ਵਿੱਚ ਫਿਕਸਡ), iOS ਲਈ WhatsApp (2.19.51), iOS ਲਈ WhatsApp Business (2.19.51), Windows Phone ਲਈ WhatsApp ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕਰਦੀ ਹੈ। 2.18.348) ਅਤੇ Tizen (2.18.15) ਲਈ WhatsApp।

ਦਿਲਚਸਪ ਗੱਲ ਇਹ ਹੈ ਕਿ ਪਿਛਲੇ ਸਾਲ ਵਿਚ ਖੋਜ ਸੁਰੱਖਿਆ ਵਟਸਐਪ ਅਤੇ ਫੇਸਟਾਈਮ ਪ੍ਰੋਜੈਕਟ ਜ਼ੀਰੋ ਨੇ ਇੱਕ ਨੁਕਸ ਵੱਲ ਧਿਆਨ ਖਿੱਚਿਆ ਜੋ ਉਪਭੋਗਤਾ ਦੁਆਰਾ ਕਾਲ ਸਵੀਕਾਰ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਇੱਕ ਵੌਇਸ ਕਾਲ ਨਾਲ ਜੁੜੇ ਨਿਯੰਤਰਣ ਸੰਦੇਸ਼ਾਂ ਨੂੰ ਭੇਜਣ ਅਤੇ ਪ੍ਰਕਿਰਿਆ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ। ਵਟਸਐਪ ਨੂੰ ਇਸ ਵਿਸ਼ੇਸ਼ਤਾ ਨੂੰ ਹਟਾਉਣ ਦੀ ਸਿਫ਼ਾਰਸ਼ ਕੀਤੀ ਗਈ ਸੀ ਅਤੇ ਇਹ ਦਿਖਾਇਆ ਗਿਆ ਸੀ ਕਿ ਫਜ਼ਿੰਗ ਟੈਸਟ ਕਰਵਾਉਣ ਵੇਲੇ, ਅਜਿਹੇ ਸੰਦੇਸ਼ ਭੇਜਣ ਨਾਲ ਐਪਲੀਕੇਸ਼ਨ ਕਰੈਸ਼ ਹੋ ਜਾਂਦੀ ਹੈ, ਯਾਨੀ. ਪਿਛਲੇ ਸਾਲ ਵੀ ਇਹ ਜਾਣਿਆ ਗਿਆ ਸੀ ਕਿ ਕੋਡ ਵਿੱਚ ਸੰਭਾਵੀ ਕਮਜ਼ੋਰੀਆਂ ਸਨ।

ਸ਼ੁੱਕਰਵਾਰ ਨੂੰ ਡਿਵਾਈਸ ਸਮਝੌਤਾ ਦੇ ਪਹਿਲੇ ਟਰੇਸ ਦੀ ਪਛਾਣ ਕਰਨ ਤੋਂ ਬਾਅਦ, Facebook ਇੰਜੀਨੀਅਰਾਂ ਨੇ ਇੱਕ ਸੁਰੱਖਿਆ ਵਿਧੀ ਵਿਕਸਿਤ ਕਰਨੀ ਸ਼ੁਰੂ ਕੀਤੀ, ਐਤਵਾਰ ਨੂੰ ਉਹਨਾਂ ਨੇ ਸਰਵਰ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਦੇ ਪੱਧਰ 'ਤੇ ਇੱਕ ਵਰਕਅਰਾਉਂਡ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਲੂਫੋਲ ਨੂੰ ਬਲੌਕ ਕੀਤਾ, ਅਤੇ ਸੋਮਵਾਰ ਨੂੰ ਉਹਨਾਂ ਨੇ ਇੱਕ ਅਪਡੇਟ ਵੰਡਣਾ ਸ਼ੁਰੂ ਕੀਤਾ ਜਿਸ ਨੇ ਕਲਾਇੰਟ ਸੌਫਟਵੇਅਰ ਨੂੰ ਫਿਕਸ ਕੀਤਾ। ਇਹ ਅਜੇ ਸਪੱਸ਼ਟ ਨਹੀਂ ਹੈ ਕਿ ਕਮਜ਼ੋਰੀ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਕਿੰਨੇ ਉਪਕਰਣਾਂ 'ਤੇ ਹਮਲਾ ਕੀਤਾ ਗਿਆ ਸੀ। ਸਿਰਫ ਰਿਪੋਰਟ ਕੀਤੀ ਗਈ ਰਿਪੋਰਟਾਂ ਵਿੱਚ ਐਤਵਾਰ ਨੂੰ ਮਨੁੱਖੀ ਅਧਿਕਾਰਾਂ ਦੇ ਕਾਰਕੁਨਾਂ ਵਿੱਚੋਂ ਇੱਕ ਦੇ ਸਮਾਰਟਫੋਨ ਨਾਲ ਸਮਝੌਤਾ ਕਰਨ ਦੀ ਇੱਕ ਅਸਫਲ ਕੋਸ਼ਿਸ਼ ਸੀ ਜੋ NSO ਗਰੁੱਪ ਤਕਨਾਲੋਜੀ ਦੀ ਯਾਦ ਦਿਵਾਉਂਦੀ ਹੈ, ਅਤੇ ਨਾਲ ਹੀ ਮਨੁੱਖੀ ਅਧਿਕਾਰ ਸੰਗਠਨ ਐਮਨੈਸਟੀ ਇੰਟਰਨੈਸ਼ਨਲ ਦੇ ਇੱਕ ਕਰਮਚਾਰੀ ਦੇ ਸਮਾਰਟਫੋਨ 'ਤੇ ਹਮਲਾ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕੀਤੀ ਗਈ ਸੀ।

ਸਮੱਸਿਆ ਬੇਲੋੜੀ ਪ੍ਰਚਾਰ ਤੋਂ ਬਿਨਾਂ ਸੀ ਪਛਾਣ ਕੀਤੀ ਇਜ਼ਰਾਈਲੀ ਕੰਪਨੀ NSO ਸਮੂਹ, ਜੋ ਕਿ ਕਾਨੂੰਨ ਲਾਗੂ ਕਰਨ ਵਾਲੀਆਂ ਏਜੰਸੀਆਂ ਦੁਆਰਾ ਨਿਗਰਾਨੀ ਪ੍ਰਦਾਨ ਕਰਨ ਲਈ ਸਮਾਰਟਫ਼ੋਨਾਂ 'ਤੇ ਸਪਾਈਵੇਅਰ ਸਥਾਪਤ ਕਰਨ ਲਈ ਕਮਜ਼ੋਰੀ ਦੀ ਵਰਤੋਂ ਕਰਨ ਦੇ ਯੋਗ ਸੀ। NSO ਨੇ ਕਿਹਾ ਕਿ ਇਹ ਗਾਹਕਾਂ ਦੀ ਬਹੁਤ ਧਿਆਨ ਨਾਲ ਜਾਂਚ ਕਰਦਾ ਹੈ (ਇਹ ਸਿਰਫ ਕਾਨੂੰਨ ਲਾਗੂ ਕਰਨ ਅਤੇ ਖੁਫੀਆ ਏਜੰਸੀਆਂ ਨਾਲ ਕੰਮ ਕਰਦਾ ਹੈ) ਅਤੇ ਦੁਰਵਿਵਹਾਰ ਦੀਆਂ ਸਾਰੀਆਂ ਸ਼ਿਕਾਇਤਾਂ ਦੀ ਜਾਂਚ ਕਰਦਾ ਹੈ। ਖਾਸ ਤੌਰ 'ਤੇ, ਹੁਣ ਵਟਸਐਪ 'ਤੇ ਰਿਕਾਰਡ ਕੀਤੇ ਹਮਲਿਆਂ ਨਾਲ ਸਬੰਧਤ ਮੁਕੱਦਮਾ ਸ਼ੁਰੂ ਕੀਤਾ ਗਿਆ ਹੈ।

NSO ਖਾਸ ਹਮਲਿਆਂ ਵਿੱਚ ਸ਼ਮੂਲੀਅਤ ਤੋਂ ਇਨਕਾਰ ਕਰਦਾ ਹੈ ਅਤੇ ਸਿਰਫ ਖੁਫੀਆ ਏਜੰਸੀਆਂ ਲਈ ਤਕਨਾਲੋਜੀ ਵਿਕਸਤ ਕਰਨ ਦਾ ਦਾਅਵਾ ਕਰਦਾ ਹੈ, ਪਰ ਪੀੜਤ ਮਨੁੱਖੀ ਅਧਿਕਾਰ ਕਾਰਕੁਨ ਅਦਾਲਤ ਵਿੱਚ ਇਹ ਸਾਬਤ ਕਰਨ ਦਾ ਇਰਾਦਾ ਰੱਖਦਾ ਹੈ ਕਿ ਕੰਪਨੀ ਉਹਨਾਂ ਗਾਹਕਾਂ ਨਾਲ ਜ਼ਿੰਮੇਵਾਰੀ ਸਾਂਝੀ ਕਰਦੀ ਹੈ ਜੋ ਉਹਨਾਂ ਨੂੰ ਪ੍ਰਦਾਨ ਕੀਤੇ ਗਏ ਸੌਫਟਵੇਅਰ ਦੀ ਦੁਰਵਰਤੋਂ ਕਰਦੇ ਹਨ, ਅਤੇ ਉਹਨਾਂ ਦੇ ਉਤਪਾਦਾਂ ਲਈ ਜਾਣੀਆਂ ਜਾਂਦੀਆਂ ਸੇਵਾਵਾਂ ਨੂੰ ਵੇਚਦੇ ਹਨ। ਉਨ੍ਹਾਂ ਦੇ ਮਨੁੱਖੀ ਅਧਿਕਾਰਾਂ ਦੀ ਉਲੰਘਣਾ।

Facebook ਨੇ ਡਿਵਾਈਸਾਂ ਦੇ ਸੰਭਾਵੀ ਸਮਝੌਤਾ ਦੀ ਜਾਂਚ ਸ਼ੁਰੂ ਕੀਤੀ ਅਤੇ ਪਿਛਲੇ ਹਫਤੇ ਨਿਜੀ ਤੌਰ 'ਤੇ ਪਹਿਲੇ ਨਤੀਜੇ ਅਮਰੀਕੀ ਨਿਆਂ ਵਿਭਾਗ ਨਾਲ ਸਾਂਝੇ ਕੀਤੇ, ਅਤੇ ਕਈ ਮਨੁੱਖੀ ਅਧਿਕਾਰ ਸੰਗਠਨਾਂ ਨੂੰ ਜਨਤਕ ਜਾਗਰੂਕਤਾ ਦਾ ਤਾਲਮੇਲ ਕਰਨ ਲਈ ਸਮੱਸਿਆ ਬਾਰੇ ਸੂਚਿਤ ਕੀਤਾ (ਦੁਨੀਆ ਭਰ ਵਿੱਚ ਲਗਭਗ 1.5 ਬਿਲੀਅਨ WhatsApp ਸਥਾਪਨਾਵਾਂ ਹਨ)।

ਸਰੋਤ: opennet.ru