有关关键信息
(CVE-2019-3568) 位于 WhatsApp 移动应用程序中，该应用程序允许您通过发送专门设计的语音呼叫来执行代码。对于成功的攻击，不需要对恶意调用做出响应；调用就足够了。然而，此类呼叫通常不会出现在呼叫日志中，并且用户可能不会注意到这种攻击。
该漏洞与 Signal 协议无关，而是由 WhatsApp 特定 VoIP 堆栈中的缓冲区溢出引起。可以通过向受害者的设备发送一系列专门设计的 SRTCP 数据包来利用该问题。该漏洞影响 WhatsApp for Android（已于 2.19.134 修复）、WhatsApp Business for Android（已于 2.19.44 修复）、WhatsApp for iOS (2.19.51)、WhatsApp Business for iOS (2.19.51)、WhatsApp for Windows Phone ( 2.18.348) 和 WhatsApp for Tizen (2.18.15)。
有趣的是，在去年的 WhatsApp 和 Facetime Project Zero 引起了人们对一个缺陷的关注，该缺陷允许在用户接听电话之前发送和处理与语音通话相关的控制消息。建议 WhatsApp 删除此功能，结果表明，在进行模糊测试时，发送此类消息会导致应用程序崩溃，即甚至在去年就已经知道代码中存在潜在的漏洞。
在周五识别出第一批设备泄露痕迹后，Facebook 工程师开始开发一种保护方法，周日他们使用变通办法堵住了服务器基础设施级别的漏洞，周一他们开始分发修复客户端软件的更新。目前尚不清楚有多少设备受到该漏洞的攻击。据报道，周日仅发生了一次未成功的尝试，使用一种让人想起 NSO 集团技术的方法来破坏一名人权活动人士的智能手机，并试图攻击人权组织大赦国际一名员工的智能手机。
问题在于没有不必要的宣传 以色列公司 NSO Group 能够利用该漏洞在智能手机上安装间谍软件，为执法机构提供监视服务。 NSO 表示，它非常仔细地筛选客户（它只与执法和情报机构合作）并调查所有滥用行为的投诉。特别是，一项与 WhatsApp 攻击记录相关的审判现已启动。
NSO 否认参与了具体攻击，并声称只是为情报机构开发技术，但受害者人权活动家打算在法庭上证明，该公司与滥用向其提供的软件的客户共同承担责任，并将其产品出售给知名服务机构。他们的人权受到侵犯。
Facebook 启动了对设备可能受到攻击的调查，并于上周私下与美国司法部分享了第一批结果，同时还向多个人权组织通报了该问题，以协调公众意识（WhatsApp 在全球范围内安装量约为 1.5 亿）。
来源： opennet.ru