原文《Facebook Messenger 漏洞讓黑客可以監(jiān)聽電話信息》

Facebook在Android Messenger應(yīng)用程序中修復(fù)了一個漏洞，該漏洞可能使遠程攻擊者呼叫沒有防備的用戶，并在他們接聽前監(jiān)聽它們的聲音。

10月6日，Google零項目漏洞調(diào)查團隊的Natalie Silvanovich將該漏洞發(fā)現(xiàn)并報告給Facebook，此漏洞影響到Android Messenger的284.0.0.16.11919版本（以及更早版本）。

簡而言之，該漏洞可能會使登錄應(yīng)用程序的攻擊者同時發(fā)起呼叫，并向同時登錄應(yīng)用程序和其他Messenger客戶端（如web瀏覽器）的目標發(fā)送精心編制的消息。

Facebook的安全工程經(jīng)理Dan Gurfinkel表示：?“這將觸發(fā)一種情況，即當設(shè)備響鈴時，呼叫者會開始接收音頻，直到被叫者應(yīng)答或呼叫超時為止。”

根據(jù)Silvanovich的技術(shù)報告，該漏洞存在于WebRTC的會話描述協(xié)議（SDP）中，該協(xié)議定義了用于在兩個端點之間交換流媒體的標準化格式，從而使攻擊者可以發(fā)送一種稱為“ SdpUpdate”的特殊類型的消息，該消息將導(dǎo)致呼叫在被應(yīng)答之前連接到被叫方的設(shè)備。

通過WebRTC進行的音頻和視頻通話通常不會在接收者單擊“接受”按鈕之前傳輸音頻，但是如果此“ SdpUpdate”消息在振鈴時發(fā)送到另一終端設(shè)備，“將導(dǎo)致它立即開始傳輸音頻，攻擊者可以借此監(jiān)視被呼叫者的周圍環(huán)境。”

在某些方面，該漏洞與去年Apple的FaceTime群聊功能中報告的侵犯隱私的漏洞相似，該漏洞使用戶可以通過添加自己的號碼作為第三方來發(fā)起FaceTime視頻通話，甚至在對方接受來電之前就可以竊聽目標通話。

這個漏洞非常嚴重，以至于蘋果在解決了該問題之前就完全中斷了FaceTime群組聊天。

但與FaceTime錯誤不同，利用此漏洞并不是那么容易。呼叫者必須已經(jīng)具有呼叫特定人員的權(quán)限，換句話說，呼叫者和被呼叫者必須是Facebook朋友才能實現(xiàn)。

更重要的是，攻擊者必須使用諸如Frida之類的逆向工程工具來操縱自己的Messenger應(yīng)用程序，以迫使其發(fā)送自定義的“SdpUpdate”消息。

Silvanovich因為報告了這個問題而獲得了6萬美元的獎金，這是Facebook迄今為止最高的三個bug獎金之一，這位谷歌研究員表示，她將這筆獎金捐給一個名為GiveWell的非盈利組織。

這不是Silvanovich第一次發(fā)現(xiàn)通訊應(yīng)用程序中的嚴重漏洞，他之前在WhatApp、iMessage、WeChat、Signal和Reliance JioChat中也發(fā)現(xiàn)了一些問題，其中包括“無需用戶交互，被叫方設(shè)備就會發(fā)送音頻”的問題。

消息來源：The Hacker News?；封面來自網(wǎng)絡(luò)；譯者：芋泥啵啵奶茶。

本文由?HackerNews.cc?翻譯整理。

[超站]友情鏈接：

四季很好，只要有你，文娛排行榜：https://www.yaopaiming.com/
關(guān)注數(shù)據(jù)與安全，洞悉企業(yè)級服務(wù)市場：https://www.ijiandao.com/