Фикс для бага обхода WhatsApp View Once продержался всего неделю

Фикс для бага обхода WhatsApp View Once продержался всего неделю

Фикс для бага обхода WhatsApp View Once продержался всего неделю

Недавно выпущенное Meta (признана экстремистской и запрещена в России) исправление работы функциональности View Once в WhatsApp продержалось всего неделю. Специалисты нашли способ обойти его и вновь многократно просматривать «одноразовые» сообщения.

На прошлой неделе мы писали об угрожающем конфиденциальности пользователей баге: злоумышленники могут обойти принцип единоразового просмотра сообщения («View once»).

Суть заключалась в том, что API-серверы воспринимали View Once как обычные сообщения, но с определённым флагом, который давал понять, что такое сообщение нужно показать лишь один раз.

Условное вредоносное приложение, способное обмениваться данными с упомянутыми серверами, могло просто проигнорировать этот флаг. Поэтому разработчики WhatsApp немного изменили код, что должно было затруднить обход View Once.

Первое время фикс действительно работал. Ряд пользователей даже жаловался на неработоспособность расширений для сохранения контента. Тем не менее, как выяснили специалисты компании Zengo, исправление оказалось неполным, так как сам корень уязвимости всё ещё присутствует в реализации View once.

«Изначально решение разработчиков выглядит неплохим шагом в верном направлении, однако его всё равно недостаточно. Основная проблема View Once в самой среде, у которой не должно быть возможности повторно показывать содержащие медиаконтент сообщения. И эта проблема до сих пор остаётся актуальной», — пишет Тал Беэри из Zengo.

Свои выводы, как и метод обхода фикса, эксперты представили в выложенном на YouTube видео:

Бывшему сотруднику Google грозит 15 лет за кражу секретов ИИ-разработок

Большое жюри суда Северной Каролины утвердило обвинительное заключение по делу 38-летнего Линь-Вэй Дина (Linwei Ding), открытому в связи с кражей у Google более 2000 документов, связанных с разработками в сфере ИИ.

По версии следствия, Дин, проработавший в Google программистом с 2019 года до конца 2023-го, решил создать свой стартап в КНР и даже встречался с потенциальными инвесторами, попросив сослуживца прикрыть свое отсутствие в офисе.

Чтобы не начинать с чистого листа, предприимчивый инженер стал выкачивать данные из сети работодателя — о суперкомпьютерном ЦОД, специально построенном для ИИ, о софте для его управления, ИИ-моделях, приложениях, кастомных чипах.

Исходники он скачивал в Apple Notes на рабочем MacBook, а затем конвертировал их в PDF и под своим Google-аккаунтом выгружал в облако, чтобы замести следы. За две недели до увольнения Дин скачал все украденные секреты на свой персональный компьютер.

Когда пропажу обнаружили, техногигант обратился в суд. Арест подозреваемого в связи с выдвинутыми обвинениями состоялся в марте 2024 года.

Позднее выяснилось, что тот также подал заявку на участие в программе правительства КНР, призванной обеспечить приток в страну специалистов по исследованиям и разработке. Этот факт позволял трактовать кражу секретов Google как промышленный шпионаж в пользу иностранного государства.

В США Дину инкриминируют семь эпизодов хищения коммерческой тайны и семь эпизодов экономического шпионажа. По первой статье ему грозит до 10 лет лишения свободы, по второй — до 15 лет.

RSS: Новости на портале Anti-Malware.ru