Kritik hakkında bilgi
(CVE-2019-3568) WhatsApp mobil uygulamasında özel tasarlanmış sesli arama göndererek kodunuzu çalıştırmanıza olanak sağlar. Başarılı bir saldırı için kötü niyetli bir çağrıya yanıt verilmesi gerekmez; bir çağrı yeterlidir. Ancak böyle bir çağrı çoğu zaman çağrı kaydında görünmez ve saldırı kullanıcı tarafından fark edilmeyebilir.
Güvenlik açığı Signal protokolüyle ilgili değil ancak WhatsApp'a özgü VoIP yığınındaki arabellek taşmasından kaynaklanıyor. Kurbanın cihazına özel olarak tasarlanmış bir dizi SRTCP paketi gönderilerek sorundan yararlanılabilir. Güvenlik açığı Android için WhatsApp'ı (2.19.134'te düzeltildi), Android için WhatsApp Business'ı (2.19.44'te düzeltildi), iOS için WhatsApp'ı (2.19.51), iOS için WhatsApp Business'ı (2.19.51), Windows Phone için WhatsApp'ı (2.18.348) etkiliyor. 2.18.15) ve Tizen için WhatsApp (XNUMX).
İlginç bir şekilde geçen yıl WhatsApp ve Facetime Project Zero, sesli aramayla ilişkili kontrol mesajlarının, kullanıcının aramayı kabul etmesinden önceki aşamada gönderilmesine ve işlenmesine olanak tanıyan bir kusura dikkat çekti. WhatsApp'ın bu özelliği kaldırması önerildi ve bulanıklaştırma testi yapılırken bu tür mesajların gönderilmesinin uygulamanın çökmesine neden olduğu gösterildi. Geçen yıl bile kodda potansiyel güvenlik açıklarının olduğu biliniyordu.
Facebook mühendisleri Cuma günü cihaz güvenliğinin ihlal edildiğinin ilk izlerini belirledikten sonra bir koruma yöntemi geliştirmeye başladı; Pazar günü geçici bir çözüm kullanarak sunucu altyapısı düzeyindeki açığı kapattılar ve Pazartesi günü istemci yazılımını düzelten bir güncelleme dağıtmaya başladılar. Güvenlik açığı kullanılarak kaç cihaza saldırıldığı henüz belli değil. Pazar günü, NSO Group teknolojisini anımsatan bir yöntem kullanarak insan hakları aktivistlerinden birinin akıllı telefonunu ele geçirmeye yönelik başarısız bir girişimin yanı sıra, Uluslararası Af Örgütü'nün bir çalışanının akıllı telefonuna saldırma girişiminde bulunulduğu bildirildi.
Sorun gereksiz tanıtım olmadandı İsrailli şirket NSO Group, kolluk kuvvetleri tarafından gözetim sağlamak amacıyla akıllı telefonlara casus yazılım yüklemek için güvenlik açığından yararlanabildi. NSO, müşterileri çok dikkatli bir şekilde taradığını (yalnızca kolluk kuvvetleri ve istihbarat teşkilatlarıyla birlikte çalıştığını) ve tüm suiistimal şikayetlerini araştırdığını söyledi. Özellikle WhatsApp'a yapılan kayıtlı saldırılarla ilgili artık bir deneme başlatıldı.
NSO belirli saldırılara karıştığını reddediyor ve yalnızca istihbarat teşkilatları için teknoloji geliştirdiğini iddia ediyor, ancak mağdur insan hakları aktivisti mahkemede şirketin sorumluluğu kendisine sağlanan yazılımı kötüye kullanan müşterilerle paylaştığını ve ürünlerini bilinen hizmetlere sattığını kanıtlamak istiyor. onların insan hakları ihlalleri.
Facebook, cihazların olası risklerine ilişkin bir soruşturma başlattı ve geçen hafta ilk sonuçları ABD Adalet Bakanlığı ile özel olarak paylaştı ve ayrıca kamuoyunun farkındalığını koordine etmek için birçok insan hakları kuruluşuna sorun hakkında bilgi verdi (dünya çapında yaklaşık 1.5 milyar WhatsApp kurulumu var).
Kaynak: opennet.ru