Bag u Facebook Messengeru omogućava korisnicima da prisluškuju jedni druge

Mobilni telefoni, 20.11.2020, 11:30 AM

Bag u Facebook Messengeru omogućava korisnicima da prisluškuju jedni druge

Facebook je otklonio bag u aplikaciji Facebook Messenger za Android koji je omogućavao pozivaocima da prisluškuju okruženje drugih korisnika pre nego što bi pozvana osoba prihvatila poziv.

Prema podacima sa stranice aplikacije u Play prodavnici, Facebook Messenger za Android je instaliran na više od milijardu Android uređaja.

Napadači su ovu grešku mogli iskoristiti slanjem posebne vrste poruke poznate kao SdpUpdate zbog koje bi se pozivalac povezao sa uređajem pozvanog korisnika pre nego što je na njega odgovoreno.

„Ako se ova poruka pošalje pozivanom uređaju dok zvoni, to će dovesti do toga da odmah počne da prenosi zvuk, što bi moglo omogućiti napadaču da prisluškuje okolinu pozvanog korisnika“, objasnila je Natali Silvanovič, istraživač Googleovog Project Zero tima.

Bag je pronađen u verziji 284.0.0.16.119 Facebook Messengera za Android prošlog meseca a Silvanovič je objavila i PoC (proof-of-concept) kod koji pokazuje kako funkcioniše bag.

Kompletna procedura za reprodukciju sada ispravljenog baga uključuje upućivanje audio poziva ciljnom uređaju nakon pokretanja PoC-a na uređaju napadača. Nakon nekoliko sekundi, napadač može da čuje zvuk iz okoline cilja preko zvučnika svog uređaja.

Facebook je Natali Silvanovič nagradio sa 60000 američkih dolara za otkrivanje ovog baga, što je najveća predviđena nagrada koju Facebook isplaćuje “lovcima na bagove”. To govori o potencijalnom uticaju ovog baga.

Silvanovič kaže da će celu sumu donirati dobrotvornoj organizaciji GiveWell. Facebook je rekao da će kompanija dopuniti ovu donaciju do ukupno 120000 dolara.

Preko 50000 istraživača pridružilo se Facebookovom programu nagrađivanja za greške u programima kompanije, a otprilike 6900 njih je od 2011. godine nagrađeno nakon podnošenja više od 130000 izveštaja o ranjivostima.

Facebook kaže da je samo ove godine isplaćeno više od 1,98 miliona dolara istraživačima iz više od 50 zemalja koji su prijavili preko 1000 ranjivosti.


Prijavite se na našu mailing listu i primajte najnovije vesti (jednom dnevno) putem emaila svakog radnog dana besplatno:

Izdvojeno

Android aplikacije sa više od 200 miliona instalacija i dalje imaju ozbiljan bag koji je ispravljen pre tri meseca

Android aplikacije sa više od 200 miliona instalacija i dalje imaju ozbiljan bag koji je ispravljen pre tri meseca

Android aplikacije sa više od 250 miliona preuzimanja i dalje imaju ozbiljnu ranjivost u Google Play Core Library koja je popravljena u avgustu 2020.... Dalje

Googleov haker otkrio kako može hakovati iPhone a da ga ne dodirne

Googleov haker otkrio kako može hakovati iPhone a da ga ne dodirne

Istraživač Google Project Zero tima otkrio da su do maja ove godine različiti Apple iPhone uređaji i drugi iOS uređaji mogli biti hakovani na na... Dalje

Iako je bag navodno ispravljen, slike i poruke i dalje cure iz popularne Android aplikacije

Iako je bag navodno ispravljen, slike i poruke i dalje cure iz popularne Android aplikacije

Od kada su pre desetak dana otkriveni detalji o bagu u popularnoj Android aplikaciji GO SMS Pro, objavljene su dve nove verzije aplikacije u Google Pl... Dalje

Zbog prikupljanja podataka, Google iz Play prodavnice uklonio dve aplikacije

Zbog prikupljanja podataka, Google iz Play prodavnice uklonio dve aplikacije

Dve Android aplikacije kineskog tehnološkog giganta Baidu uklonjene su iz Google Play prodavnice krajem oktobra. Aplikacije Baidu Maps i Baidu Search... Dalje

Lažni Minecraft modovi instalirani na više od milion Android uređaja čine njihovo korišćenje nemogućim

Lažni Minecraft modovi instalirani na više od milion Android uređaja čine njihovo korišćenje nemogućim

Prevaranti su još jednom uspeli da zaobiđu Googleovu zaštitu Play prodavnice i objavili više od 20 lažnih mod-paketa za popularnu igru Minecraft.... Dalje