Сегодня WhatsApp раскрыл уязвимость, которая позволила хакерам удаленно использовать ошибку в системе аудиозвонков приложения для получения доступа к конфиденциальной информации на устройствах iPhone или Android.

По данным издания The New York Times, злоумышленники смогли внедрить вредоносный код в WhatsApp, что позволило им красть данные независимо от того, был ли принят звонок WhatsApp.

Исследователи безопасности заявили, что шпионское ПО, использовавшее эту уязвимость, обладало характеристиками шпионского ПО Pegasus от NSO Group, которое обычно лицензируется правительствам, приобретающим его для установки на устройства лиц, являющихся объектами расследования.

Описание: Уязвимость переполнения буфера в стеке VOIP WhatsApp позволяла удаленное выполнение кода через специально сформированную серию пакетов SRTCP, отправленных на целевой номер телефона.

Затронутые версии: Проблема затрагивает WhatsApp для Android до версии v2.19.134, WhatsApp Business для Android до версии v2.19.44, WhatsApp для iOS до версии v2.19.51, WhatsApp Business для iOS до версии v2.19.51, WhatsApp для Windows Phone до версии v2.18.348 и WhatsApp для Tizen до версии v2.18.15.

WhatsApp описал уязвимость как «нетривиальную для развертывания, ограничивающую ее применение для продвинутых и высокомотивированных субъектов», однако неясно, как долго существовала эта лазейка в системе безопасности и сколько человек были затронуты. Она была использована для атаки на лондонского адвоката, участвовавшего в судебных процессах против NSO Group, и, по мнению исследователей безопасности, могли быть и другие цели.

Инженеры WhatsApp «работали круглосуточно» над устранением уязвимости и предоставили исправление в понедельник. Первоначальная уязвимость была обнаружена десять дней назад после того, как WhatsApp выявил аномальную активность голосовых вызовов после жалоб упомянутого адвоката. WhatsApp заявляет, что уведомил Министерство юстиции и «ряд правозащитных организаций» об этой проблеме.

Обновление: Комментарии читателей указывали на то, что некоторая формулировка в этой статье была запутанной или вводящей в заблуждение, поэтому мы обновили ее, чтобы прояснить детали уязвимости. В частности, эта проблема затронула WhatsApp, а не операционную систему iOS.

Примечание: В связи с политическим характером обсуждения данной темы, тема находится в нашем разделе Политика, религия, социальные вопросы. Все участники форума и посетители сайта могут читать и следить за темой, однако возможность оставлять сообщения доступна только зарегистрированным пользователям с минимум 100 сообщениями.