WhatsApp存在0day漏洞可被利用安装恶意应用

栏目: 编程工具 · 发布时间: 5年前

内容简介:此前WhatsApp存在0day漏洞,此漏洞可被攻击者利用在受害者的手机上安装恶意应用。此事件是金融时报最先报道的,攻击者在五月初时试图通过WhatsApp的语音电话功能呼叫用户来在他们的手机上安装恶意应用。

WhatsApp存在0day漏洞可被利用安装恶意应用

WhatsApp发布安全更新修复此前可被利用安装恶意应用的漏洞

此前WhatsApp存在0day漏洞,此漏洞可被攻击者利用在受害者的手机上安装恶意应用。

此事件是金融时报最先报道的,攻击者在五月初时试图通过WhatsApp的语音电话功能呼叫用户来在他们的手机上安装恶意应用。

WhatsApp在周一发布的安全通告中证实了此消息,确认此漏洞为WhatsApp VOIP栈中的缓冲区溢出漏洞,并第一时间发布了安全更新。此漏洞可通过向目标用户发送特制的SRTCP(安全实时传输协议)包实现远程代码执行。

WhatsApp发言人表示此次攻击水很深,与部分公司和政府有莫大牵扯,并拒绝透露影响人数等具体事件细节。

虽然WhatsApp并未指出“部分公司”具体是哪些,但金融时报报道称此事件中的恶意应用是由NSO集团开发。

部分安全人员称此漏洞可能会用于攻击记者、律师等敏感职业,并称近期已经捕获到一些攻击样本。

WhatsApp存在0day漏洞可被利用安装恶意应用

此漏洞影响WhatsApp Android 2.19.134之前的版本、WhatsApp Business 2.19.44之前的版本、WhatsApp iOS 2.19.51之前的版本、WhatsApp Business iOS 2.19.51之前的版本、WhatsApp Windows Phone 2.18.348之前的版本以及WhatsApp Tizen 2.18.15之前的版本。

用户应及时检查自己使用使用最新版。

Checkpoint关于此漏洞(CVE-2019-3568)简要定位

Facebook技术人员称此漏洞为SRTCP协议造成的缓冲区溢出漏洞,因此通过Android新版WhatsApp的补丁中此部分修复代码进行分析:

长度检查1

此处为RTCP处理函数,修复代码将检查长度参数,最大大小为1480字节。

WhatsApp存在0day漏洞可被利用安装恶意应用

此函数为RTCP模块主要功能之一,在应答语音呼叫前即会调用。

长度检查2

下图中蓝色方框部分为新加入的长度检查代码,用来验证数据包的长度字段不会超长并且小于等于1480字节。

WhatsApp存在0day漏洞可被利用安装恶意应用


以上就是本文的全部内容,希望本文的内容对大家的学习或者工作能带来一定的帮助,也希望大家多多支持 码农网

查看所有标签

猜你喜欢:

本站部分资源来源于网络,本站转载出于传递更多信息之目的,版权归原作者或者来源机构所有,如转载稿涉及版权问题,请联系我们

浴缸里的惊叹

浴缸里的惊叹

顾森 / 人民邮电出版社 / 2014-7 / 49.00元

《浴缸里的惊叹》是一本趣题集,里面的题目全部来自于作者顾森十余年来的精心收集,包括几何、组合、行程、数字、概率、逻辑、博弈、策略等诸多类别,其中既有小学奥数当中的经典题目,又有世界级的著名难题,但它们无一例外都是作者心目中的“好题”:题目本身简单而不容易,答案出人意料却又在情理之中,解法优雅精巧令人拍案叫绝。作者还有意设置了语言和情境两个类别的问题,希望让完全没有数学背景的读者也能体会到解题的乐趣......一起来看看 《浴缸里的惊叹》 这本书的介绍吧!

CSS 压缩/解压工具
CSS 压缩/解压工具

在线压缩/解压 CSS 代码

JSON 在线解析
JSON 在线解析

在线 JSON 格式化工具

RGB CMYK 转换工具
RGB CMYK 转换工具

RGB CMYK 互转工具