Информације о критичним
(ЦВЕ-2019-3568) у мобилној апликацији ВхатсАпп, која вам омогућава да извршите свој код слањем посебно дизајнираног говорног позива. За успешан напад није потребан одговор на злонамерни позив, довољан је позив. Међутим, такав позив се често не појављује у евиденцији позива и напад може проћи непримећен од стране корисника.
Рањивост није повезана са протоколом Сигнал, већ је узрокована преливом бафера у ВоИП стеку специфичном за ВхатсАпп. Проблем се може искористити слањем посебно дизајниране серије СРТЦП пакета на уређај жртве. Рањивост утиче на ВхатсАпп за Андроид (поправљено у 2.19.134), ВхатсАпп Бусинесс за Андроид (поправљено у 2.19.44), ВхатсАпп за иОС (2.19.51), ВхатсАпп Бусинесс за иОС (2.19.51), ВхатсАпп за Виндовс Пхоне ( 2.18.348) и ВхатсАпп за Тизен (2.18.15).
Занимљиво, у прошлогодишњој ВхатсАпп и Фацетиме Пројецт Зеро скренули су пажњу на недостатак који омогућава да се контролне поруке повезане са гласовним позивом шаљу и обрађују у фази пре него што корисник прихвати позив. ВхатсАпп-у је препоручено да уклони ову функцију и показало се да приликом спровођења фузинг теста слање оваквих порука доводи до пада апликације, тј. Још прошле године се знало да постоје потенцијалне рањивости у коду.
Након што су у петак идентификовали прве трагове компромитовања уређаја, Фацебоок инжењери су почели да развијају метод заштите, у недељу су блокирали рупу на нивоу серверске инфраструктуре користећи заобилазно решење, а у понедељак су почели да дистрибуирају ажурирање које је поправило клијентски софтвер. Још није јасно колико је уређаја нападнуто коришћењем рањивости. Једини пријављени извештаји били су неуспешан покушај у недељу да се компромитује паметни телефон једног од активиста за људска права методом која подсећа на технологију групе НСО, као и покушај напада на паметни телефон запосленог у организацији за људска права Амнести интернешенел.
Проблем је био без непотребног публицитета Израелска компанија НСО Гроуп, која је успела да искористи рањивост за инсталирање шпијунског софтвера на паметне телефоне како би обезбедила надзор од стране агенција за спровођење закона. НСО је рекао да веома пажљиво проверава клијенте (ради само са органима за спровођење закона и обавештајним агенцијама) и истражује све жалбе на злоупотребу. Конкретно, сада је покренуто суђење у вези са снимљеним нападима на ВхатсАпп.
НСО негира умешаност у конкретне нападе и тврди само да развија технологије за обавештајне агенције, али жртва активиста за људска права намерава да докаже на суду да компанија дели одговорност са клијентима који злоупотребљавају софтвер који им је дат, а своје производе продају услугама познатим по њихова кршења људских права.
Фејсбук је покренуо истрагу о могућем компромитовању уређаја и прошле недеље је приватно поделио прве резултате са Министарством правде САД, а такође је обавестио неколико организација за људска права о проблему ради координације јавне свести (постоји око 1.5 милијарди ВхатсАпп инсталација широм света).
Извор: опеннет.ру