Баг Facebook Messenger для Android позволял шпионить за пользователями

Баг Facebook Messenger для Android позволял шпионить за пользователями

Баг Facebook Messenger для Android позволял шпионить за пользователями

В мобильной версии приложения Facebook Messenger устранили уязвимость, с помощью которой можно было прослушивать окружение вызываемого абонента. По свидетельству нашедшего баг эксперта, скрытное подключение к целевому Android-устройству в данном случае выполняется за пару секунд.

Новую лазейку для шпионов обнаружила участница ИБ-проекта Google Project Zero Натали Силванович (Natalie Silvanovich). В Facebook находку оценили в $60 тыс. — это один из крупнейших призов, которые компания выдает в рамках своей программы для баг-хантеров.

Причиной появления уязвимости, со слов Силванович, является некорректная реализация протокола SDP (Session Description Protocol, протокол описания сеансов передачи мультимедиа-данных). Этот протокол является важной частью технологии WebRTC (Web Real-Time Communication, коммуникации в реальном времени), позволяющей проводить конференции в браузере.

При установке WebRTC-соединения между мобильными устройствами происходит краткий обмен сообщениями. Отвечая на звонок, абонент нажимает соответствующую кнопку, подтверждая тем самым свое согласие на подключение и трансляцию аудио.

Проводя аудит мессенджера Facebook, эксперт обнаружила, что из-за ошибки разработчиков злоумышленник может с помощью сообщения SdpUpdate запустить аудиотрансляцию в ходе вызова — без ведома и согласия адресата. Это SDP-сообщение не используется при установке соединения WebRTC, но его вброс позволит автору атаки услышать через наушники все, что происходит рядом с вызываемым абонентом.

Эксплуатация уязвимости предполагает наличие разрешения на звонок намеченной жертве — к примеру, злоумышленник должен числиться в списке друзей на Facebook. Силванович провела пробную атаку на Android с установленным Facebook Messenger версии 284.0.0.16.119 и выяснила, что искомый результат можно получить за пару секунд.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

UserGate и МУЛЬТИФАКТОР подтвердили совместимость своих решений

Компании UserGate и МУЛЬТИФАКТОР провели испытания и подтвердили, что их продукты успешно работают вместе. Речь идёт о совместимости межсетевого экрана UserGate Next-Generation Firewall (NGFW) и службы каталогов MULTIDIRECTORY. По итогам тестирования был оформлен соответствующий сертификат.

Интеграция позволяет администраторам использовать MULTIDIRECTORY для централизованной аутентификации пользователей и управления учётными записями в инфраструктуре на базе UserGate NGFW.

MULTIDIRECTORY — российская служба каталогов с открытым исходным кодом, адаптированная под Microsoft Active Directory. Её можно использовать для постепенного перехода с AD на отечественное решение. Продукт включён в реестр российского ПО под номером 28333.

UserGate Next-Generation Firewall — это межсетевой экран, совмещающий функции файрвола и системы обнаружения вторжений. Он сертифицирован ФСТЭК России (№ 3905), внесён в реестр российского ПО (№ 1194) и соответствует 4-му уровню доверия.

По словам представителей компаний, интеграция упрощает работу с корпоративными учётными записями и может быть полезна организациям, которые стремятся отказаться от иностранных решений в инфраструктуре.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru