Уязвимость выполнения стороннего кода в WhatsApp присутствует и в других приложениях для Android. К такому выводу пришли специалисты TrendMicro, нашедшие более 3000 потенциально опасных программ в Google Play и сторонних файловых архивах. Баг эксплуатируется через вредоносный GIF-файл и может привести к перехвату управления мобильным устройством.
Почему баг WhatsApp затронул и другие приложения
Уязвимость, зарегистрированная как CVE-2019-11932, была выявлена в октябре этого года. Ошибка двойного освобождения ячейки памяти может появиться из-за некорректной работы функции DDGifSlurp открытой библиотеки libpl_droidsonroids_gif.so. Программа входит в состав набора android-gif-drawable и используется многими Android-приложениями для обработки графических объектов.
После выявления бага разработчики библиотеки добавили в код дополнительную проверку, призванную исключить двойное освобождение памяти. Патч был включен в состав версии 1.2.15 программы, которая вышла в июле этого года. Разработчики WhatsApp включили обновленный релиз в сборку 2.19.44 мессенджера. Тем не менее в Сети остаются тысячи приложений, использующих уязвимый вариант libpl_droidsonroids_gif.so.
По результатам исследования, проведенного ИБ-аналитиками, только в Google Play представлено более 3400 программ, содержащих потенциально небезопасную библиотеку. Десятки разработок были обнаружены в сторонних репозиториях 9Apps, Aptoide, APKPure, PP Assistant и многих других хранилищах. Возможно, некоторые приложения уже обновили уязвимый код, однако выборочное тестирование нескольких образцов показало, что многие разработчики все еще не исправили свои продукты.
Используя CVE-2019-11932, злоумышленники могут повысить свои привилегии на устройстве, получить возможность выполнить сторонний код или добиться состояния отказа в обслуживании. Обнаруживший проблему исследователь разработал эксплойт, позволяющий развернуть реверсивную оболочку в контексте WhatsApp, читать информацию из песочницы программы и получить доступ к базе данных сообщений мессенджера.
Другой, не менее опасный баг WhatsApp был связан с неправильной обработкой видеофайлов. Вредоносный ролик в формате MP4, отправленный на устройство, мог вызвать переполнение буфера стека и дать возможность атакующему выполнить произвольный код в контексте мессенджера.
Почему баг WhatsApp затронул и другие приложения
Уязвимость, зарегистрированная как CVE-2019-11932, была выявлена в октябре этого года. Ошибка двойного освобождения ячейки памяти может появиться из-за некорректной работы функции DDGifSlurp открытой библиотеки libpl_droidsonroids_gif.so. Программа входит в состав набора android-gif-drawable и используется многими Android-приложениями для обработки графических объектов.
После выявления бага разработчики библиотеки добавили в код дополнительную проверку, призванную исключить двойное освобождение памяти. Патч был включен в состав версии 1.2.15 программы, которая вышла в июле этого года. Разработчики WhatsApp включили обновленный релиз в сборку 2.19.44 мессенджера. Тем не менее в Сети остаются тысячи приложений, использующих уязвимый вариант libpl_droidsonroids_gif.so.
По результатам исследования, проведенного ИБ-аналитиками, только в Google Play представлено более 3400 программ, содержащих потенциально небезопасную библиотеку. Десятки разработок были обнаружены в сторонних репозиториях 9Apps, Aptoide, APKPure, PP Assistant и многих других хранилищах. Возможно, некоторые приложения уже обновили уязвимый код, однако выборочное тестирование нескольких образцов показало, что многие разработчики все еще не исправили свои продукты.
Используя CVE-2019-11932, злоумышленники могут повысить свои привилегии на устройстве, получить возможность выполнить сторонний код или добиться состояния отказа в обслуживании. Обнаруживший проблему исследователь разработал эксплойт, позволяющий развернуть реверсивную оболочку в контексте WhatsApp, читать информацию из песочницы программы и получить доступ к базе данных сообщений мессенджера.
Другой, не менее опасный баг WhatsApp был связан с неправильной обработкой видеофайлов. Вредоносный ролик в формате MP4, отправленный на устройство, мог вызвать переполнение буфера стека и дать возможность атакующему выполнить произвольный код в контексте мессенджера.
