Informacion në lidhje me kritike
(CVE-2019-3568) në aplikacionin celular WhatsApp, i cili ju lejon të ekzekutoni kodin tuaj duke dërguar një telefonatë zanore të krijuar posaçërisht. Për një sulm të suksesshëm, nuk kërkohet një përgjigje ndaj një thirrjeje me qëllim të keq; mjafton një telefonatë. Megjithatë, një thirrje e tillë shpesh nuk shfaqet në regjistrin e thirrjeve dhe sulmi mund të kalojë pa u vënë re nga përdoruesi.
Dobësia nuk lidhet me protokollin e sinjalit, por shkaktohet nga një tejmbushje buferi në grupin VoIP specifik të WhatsApp. Problemi mund të shfrytëzohet duke dërguar një seri të projektuar posaçërisht paketash SRTCP në pajisjen e viktimës. Dobësia prek WhatsApp për Android (fiksuar në 2.19.134), WhatsApp Business për Android (fiksuar në 2.19.44), WhatsApp për iOS (2.19.51), WhatsApp Business për iOS (2.19.51), WhatsApp për Windows Phone ( 2.18.348) dhe WhatsApp për Tizen (2.18.15).
Interesante, në vitin e kaluar WhatsApp dhe Facetime Project Zero tërhoqën vëmendjen për një defekt që lejon që mesazhet e kontrollit të lidhura me një telefonatë zanore të dërgohen dhe të përpunohen në fazën përpara se përdoruesi të pranojë thirrjen. WhatsApp u rekomandua për të hequr këtë funksion dhe u tregua se gjatë kryerjes së një testi fuzzing, dërgimi i mesazheve të tilla çon në dështime të aplikacionit, d.m.th. Edhe vitin e kaluar dihej se kishte dobësi të mundshme në kod.
Pas identifikimit të gjurmëve të para të kompromisit të pajisjes të Premten, inxhinierët e Facebook filluan të zhvillojnë një metodë mbrojtjeje, të dielën ata bllokuan zbrazëtirën në nivelin e infrastrukturës së serverit duke përdorur një zgjidhje, dhe të hënën filluan të shpërndanin një përditësim që rregullonte softuerin e klientit. Nuk është ende e qartë se sa pajisje janë sulmuar duke përdorur këtë cenueshmëri. Raportet e vetme të raportuara ishin një përpjekje e pasuksesshme të dielën për të komprometuar telefonin inteligjent të një prej aktivistëve të të drejtave të njeriut duke përdorur një metodë që të kujton teknologjinë e NSO Group, si dhe një përpjekje për të sulmuar telefonin inteligjent të një punonjësi të organizatës për të drejtat e njeriut Amnesty International.
Problemi ishte pa publicitet të panevojshëm Kompania izraelite NSO Group, e cila ishte në gjendje të përdorte dobësinë për të instaluar spyware në telefonat inteligjentë për të ofruar mbikëqyrje nga agjencitë e zbatimit të ligjit. NSO tha se kontrollon klientët me shumë kujdes (ajo punon vetëm me agjencitë e zbatimit të ligjit dhe inteligjencës) dhe heton të gjitha ankesat për abuzim. Në veçanti, tani ka filluar një gjykim në lidhje me sulmet e regjistruara në WhatsApp.
NSO mohon përfshirjen në sulme specifike dhe pretendon se zhvillon teknologji vetëm për agjencitë e inteligjencës, por aktivisti i të drejtave të njeriut të viktimës synon të provojë në gjykatë se kompania ndan përgjegjësinë me klientët që abuzojnë me softuerin e ofruar për ta dhe i shitën produktet e saj shërbimeve të njohura për shkeljet e të drejtave të tyre të njeriut.
Facebook nisi një hetim për kompromentimin e mundshëm të pajisjeve dhe javën e kaluar ndau privatisht rezultatet e para me Departamentin e Drejtësisë së SHBA-së, dhe gjithashtu njoftoi disa organizata të të drejtave të njeriut për problemin për të koordinuar ndërgjegjësimin publik (ka rreth 1.5 miliardë instalime WhatsApp në mbarë botën).
Burimi: opennet.ru