В WhatsApp выявлена очередная уязвимость, позволявшая шпионить за пользователями

Для компроментации злоумышленниу нужно всего лишь выяснить номер телефона жертвы и отправить ей вредоносный файл МР4.

Не привлекая лишнего внимания, компания Facebook исправила уязвимость в популярном мессенджере WhatsApp, предоставлявшую возможность удаленно скомпрометировать целевое устройство и похитить хранящуюся на нем защищенную информацию.

Проблема, получившая идентификатор CVE-2019-11931, представляет собой уязвимость переполнения буфера, связанную с реализованным в предыдущих версиях WhatsApp механизмом парсинга потока метаданных MP4 файла, что могло привести к возможности вызова сбоя в работе или удаленного выполнения кода.

Проэксплуатировать проблему достаточно просто. Для этого злоумышленнику потребуется выяснить номер телефона жертвы и отправить ей по WhatsApp специально сформированнный файл в формате MP4, который может быть использован для незаметной установки бэкдора или шпионского ПО на устройство.

Уязвимость затрагивает как потребительскую, так и корпоративную версии WhatsApp для всех основных платформ, включая Google Android, Apple iOS и Microsoft Windows. Согласно предупреждению Facebook уязвимость содержится в следующих версиях приложения:

• Android-версии до 2.19.274;
• iOS-версии младше 2.19.100;
• Версии Enterprise Client до 2.25.3;
• Версии для Windows Phone младше и включая 2.18.368;
• Версии Business for Android до 2.19.104;
• Версии Business for iOS versions до 2.19.100.

Как сообщили представители WhatsApp, случаи использования «свежеисправленной» уязвимости в целевых атаках не зафиксированы.

Характер уязвимости сходен с проблемой CVE-2019-3568 , исправленной инженерами Facebook в мае нынешнего года. Данная уязвимость также позволяла установить программы для слежки за пользователями и, более того, успешно была использована в реальных атаках для установки шпионской программы Pegasus производства израильской компании NSO Group.

В конце октября текущего года компания WhatsApp подала в суд на NSO Group, обвинив последнюю в пособничестве правительственным спецслужбам во взломе телефонов порядка 1,4 тыс. пользователей по всему миру, в том числе дипломатов, оппозиционеров, журналистов и высокопоставленных должностных лиц. Источник