Whatsapp: bug consentiva agli hacker di installare malware tramite un file video

18 Novembre 2019 31

Il team di WhatsApp, con una nota pubblica su Facebook, ha comunicato di aver scoperto e corretto un bug comune a tutte le piattaforme che, attraverso l'invio di un file video MP4 opportunamente modificato, poteva mettere a repentaglio la sicurezza dei dispositivi interessati.

Qualche mese fa vi avevamo raccontato di come la popolare applicazione di messagistica fosse stata hackerata sfruttando una falla della sicurezza che consentiva l'installazione di Pegasus, uno spyware capace di infettare i dispositivi semplicemente tramite una chiamata (non era neppure necessario che l'utente rispondesse). Oggi si torna a parlare di Whatsapp e sicurezza con l'ammissione di questa nuova vulnerabilità.

La falla, risolta con l'ultimo aggiornamento e nota col codice CVE-2019-11931, consente all'invio di un particolare file MP4 di causare un DoS (denial of service), ovvero di rendere inutilizzabile l'applicazione (i dettagli tecnici li trovate nella nota ufficiale riportata come FONTE). Ma non è finita qui: l'aspetto più preoccupante è che l'overflow del buffer di memoria prodotto era in grado, tecnicamente, di consentire anche l'esecuzione di un codice da remoto. Ciò avrebbe permesso all'hacker, a quel punto, di scaricare e installare sui dispositivi violati un malware, oltre a rendergli accessibili e trasferibili i dati sensibili contenuti nel medesimo. E tutto questo senza che l'utente potesse sospettarlo.

Le versioni interessate da questo problema sono, nello specifico, quelle precedenti alla 2.19.274 su Android (e alla 2.19.104 per quanto concerne Whatsapp Business), alla 2.19.100 su iOS (e alla 2.19.100 per Business), e pari o inferiori alla 2.18.368 su Windows Phone.

Per mettersi al sicuro da qualsiasi spiacevole inconveniente, basterà aggiornare l'applicazione all'ultima versione disponibile (o eventualmente disabilitare il download automatico dei media tramite le impostazioni interne all'applicazione).


31

Commenti

Regolamento Commentando dichiaro di aver letto il regolamento e di essere a conoscenza delle informazioni e norme che regolano le discussioni sul sito. Clicca per info.
Caricamento in corso. Per commentare attendere...
NicoRoma90

Il linguaggio C è prono a creare errori di segmentation fault o buffer overflow... ma è colpa del programmatore se ciò accade non di sicuro del sistema operativo... guardati la differenza fra le funzioni strcpy() e strncpy() del C... fanno la stessa cosa, ma la prima permette di creare codice vulnerabile al buffer overflow, mentre la seconda no... se un programmatore utilizza la prima invece della seconda, che colpa ne ha il sistema operativo?

Il sistema operativo giustamente può solo cercare di evitarli con varie implementazioni che ho scritto sopra

In linguaggi come il C, un bug di overflow é quasi impossibile da evitare. Funziona tutto con indirizzi su memorie. E' compito del sistema operativo riuscire a bloccare accessi non voluti.

Con DOS, Windows 3.11 e Windows 95, il compito era del programmatore. E i bluescreen erano all'ordine del giorno.

Con XP le cose sono migliorate tantissimo, grazie appunto alla verifica della scrittura da parte del sistema operativo.

Oggi, solo ancora drivers ben testati hanno accesso senza controllo (come drivers per schede grafiche o antivirus).

Sdentato

Non volevo essere polemico, stavo solo chiedendo. Tutto qui :)

NicoRoma90

Non sono espertissimo di buffer overflow, però il sistema operativo non può garantire che non vi siano buffer overflow, sebbene possa utilizzare delle contromisure (ASLR o canary)... la colpa più grande è da imputare al programmatore che non utilizza istruzioni sicure per scrivere dati nella memoria in linguaggi come il C

NicoRoma90

Se con la falla che trovi riesci tramite altra falla a fare privilege escalation (ottenere i permessi di root) penso puoi fare circa qualsiasi cosa

Jon Knows

Non ci sono parole per lo schifo.
Punto in comune con lo schifo delle Ghostbusters, lo stesso attore.
Coincidenza? Non credo.

Ory_k

Chi se ne fott3 a me non piace la dark mode e non hai capito l’ironia impara a leggere

Ory_k

Mi annoia leggere

Egidiangelo

Polemica molto utile

E' sempre bello vedere un articolo con tante informazioni, poi leggendo dalla fonte vedi solo 1/3 dei dati riportati qua...
Le possibilità sono 2:
1- La redazione ha abbellito la notizia con tante notizie fake
2- Hanno letto una notizia da qualche parte e riportato la fonte diversa

Su Facebook, riportano semplicemente di un buffer overflow. Cosa che dovrebbe essere intercettata senza problemi da qualsiasi OS.
Se così non fosse, sì, sarebbe un grave bug del sistema, non dell'app.

Nope Nope

perché non dovrebbe, se riguarda anche Android? oltretutto vedo che è presente pure nelle categorie iOS e Mobile.

antonio_ant

una volta un gatto è finito per camminare sulla tastiera del mio pc. Magari anche tu riesci ad hackerare un database nello stesso modo. Tanto vale provarci.

Per mettersi al sicuro da qualsiasi spiacevole inconveniente, basterà aggiornare l'applicazione all'ultima versione disponibile

Finalmente una versione priva di bugs e che non ha neanche più una falla! Grazie "redazione" per questa versione che ci mette al sicuro da qualsiasi inconveniente ;)

Crash Nebula

Non c’è Will Smith, cosa ti aspettavi?

Giardiniere Willy

Ma tecnicamente un app che non ha i privilegi di amministratore è in grado di installare autonomamente altre app? Non mi pare.
Quindi come farebbe?
A questo punto mi sembra ovvio pensare che non sia un bug di WhatsApp, ma degli os e che tale comportamento si possa riproporre su altre app.

Jon Knows

E se si chiamasse Wanda Diecimi esploderebbe di felicità.

Jon Knows

OT\

Il tuo avatar mi fa ricordare che l'ultimo film "MIB International" è uno spreco di pellicola.
Meglio sparaflesharsi da soli dopo il cattivo gusto di averlo visto per forza.

Koji Ray

Davvero?!?!

Vado a installare e poi spedisco subito tutto al 'Drive In'.

Andrea1234567

Ci sono 3 commenti in croce, puoi leggere da solo se è stato chiesto.

BRTsenzaimpegno

AHAHaha sisi magari fosse così semplice!!!!

Sdentato

Perché l'articolo è stato inserito nella categoria Android se riguard anche iOS e Windows mobile?

Anche su oneplus

Natale credici

W10M non esiste

Ory_k

Sono arrivati i dark mode f4n a chiedere quando verrà rilasciata ?

wphantom

Anche su mio Mate 10 Pro, dopo gli ultimi aggiornamenti dell'app, mi viene notificato un consumo esagerato!

bda94

Regalate una fidanzata a yepp

Trhistan

Su come sfruttare la falla?

GTX88
yepp
Gas_T_one

Link con tutorial su come farlo?

Samsung Galaxy S20 FE è ufficiale: 5G con Snapdragon 865 a 769 euro

Abbiamo messo alla prova la Flip camera di Zenfone 7 Pro e questo è il risultato | Video

Recensione Samsung Galaxy Note 20: S-Pen, schermo piatto e qualche "ma"

Recensione Asus Zenfone 7 Pro: Flip Camera con OIS e prestazioni al top!