Súlyos sebezhetőséget foltozott be a WhatsApp

Különösen kritikus sebezhetőséget foltozott be rendszereiben múlt hétvégén a WhatsApp. A Facebook tulajdonában lévő, mintegy 1,5 milliárd regisztrált felhasználóval rendelkező chatplatform okostelefonos kliensalkalmazásai lehetővé tették, hogy a támadók a hanghívási protokoll sérülékenységét kihasználva távolról kémszoftvert telepítsenek a felhasználók készülékeire. A támadóknak ehhez elég volt felhívniuk a kiszemelt áldozatot, a kód ezt követően akkor is települt, ha a hívott fél egyébként nem fogadta a hívást.

Az ügy különös pikantériája, hogy az ominózus kémszoftver, a Pegasus egy kifejezetten kormányzati ügyfelek számára fejlesztett, felderítési és nyomozati tevékenységet támogató csomag, melyet az izraeli NSO Csoport jegyez. A Pegasust elsősorban bűnüldözési és terrorellenes célokra rendelik meg a nemzetállamok szakszolgálatai, szigorú licencelési feltételek mellett. Az NSO röviddel az biztonsági incidens nyilvánosságra kerülését követően igyekezett leszögezni, hogy nem üzemeltetője a Pegasus platformnak, illetve vizsgálatot indított annak érdekében, hogy kiderítse, illetéktelenek használhatták-e a rendszert.

A Gitlab mint DevSecOps platform (x) Gyere el Radovan Baćović (Gitlab, Data Engineer) előadására a november 7-i DevOps Natives meetupon.

Az incidens mindenesetre abból a szempontból (is) rendkívül kínos az üzemeltetőre nézve, hogy a WhatsAppnak egyelőre láthatóan fogalma sincs arról (vagy nem hozza nyilvánosságra), hogy pontosan hány felhasználóját támadhatták a biztonsági rés kihasználásával, mint ahogy arról sincs semmilyen rendelkezésre álló információ, hogy meddig használhatták ki támadók a sebezhetőséget. A cég május elején fedezte fel rendszereiben a biztonsági rést, ezt követően először a háttérinfrastruktúrán hajtott végre olyan változtatásokat, mely kizárta a támadási lehetőséget, majd később - múlt hét végén - az Android és iOS platformokra kiadott WhatsApp kliensalkalmazásokat is frissítette.

A cég azt javasolja minden felhasználójának, hogy haladéktalanul töltsék le a kliensszoftver új verzióját, valamint rendszeresen frissítsék a mobiltelefonjuk operációs rendszerét a lehető legmagasabb szintű védelem érdekében. A cég múlt héten értesítette az esetről az illetékes kormányzati szerveket és adatvédelmi szervezeteket.