Abo
  • IT-Karriere:

Google Project Zero: Whatsapp-Anruf kann Sicherheitslücke ausnutzen

Googles Project Zero entdeckt eine Sicherheitslücke in Whatsapp. Diese kann mittels eines einfachen Anrufes ausgenutzt werden. Die Lücke wurde von Whatsapp geschlossen.

Artikel veröffentlicht am ,
Lücke in Whatsapp: Wenn verpasste Anrufe ein Sicherheitsfeature werden.
Lücke in Whatsapp: Wenn verpasste Anrufe ein Sicherheitsfeature werden. (Bild: LoboStudioHamburg/CC0 1.0)

Die Sicherheitsforscherin Natalie Silvanovich hat eine Sicherheitslücke in Whatsapp entdeckt. Diese steckt in der Speicherverwaltung der Videokonferenzfunktion des Instant Messengers. Mit einem präparierten RTP-Paket kann eine Memory Corruption herbeigeführt werden. Wird ein Anruf eines Angreifers angenommen, kann dieser die Sicherheitslücke ausnutzen. Silvanovich, die bei Googles Project Zero arbeitet, konnte mit der Sicherheitslücke Whatsapp zum Absturz bringen. Sie habe nicht versucht, die Lücke weiter auszunutzen, diese habe aber erhebliches Potenzial, schreibt sie auf Twitter.

Stellenmarkt
  1. Hays AG, Mainz
  2. CeramTec GmbH, Plochingen bei Stuttgart, Marktredwitz bei Bayreuth

Die Sicherheitslücke wurde im August entdeckt und an Whatsapp gemeldet. Das Unternehmen schloss sie Ende September in der Android-Version und Anfang Oktober unter iOS. Mit der Android-Version 2.18.302 des Messengers, sowie der am 1. Oktober veröffentlichten 2.18.93, wurde die Lücke behoben.

Obwohl die Android-Version bereits Ende September aktualisiert wurde, ist das Update noch nicht für alle Android-Nutzer in Googles Play Store verfügbar. Bevor Anrufe mittels Whatsapp entgegengenommen werden, empfiehlt sich eine Überprüfung der installierten Whatsapp-Version. Bisher sind jedoch noch keine Angriffe bekanntgeworden, die die Lücke ausnutzen.

Mit Fuzzing entdeckt und veröffentlicht

Die Lücke wurde mittels Fuzzing entdeckt, bei welchem eine Software mit zufälligen Daten gefüttert wird. Reagiert sie auf eine Eingabe ungewollt, beispielsweise durch einen Absturz, handelt es sich höchstwahrscheinlich um einen Bug.

Googles Project Zero sucht Sicherheitslücken in unterschiedlichster Software und meldet diese an deren Entwickler. Diesen geben ihnen neun Wochen Zeit, die Lücke zu schließen, dann veröffentlicht Project Zero eine Beschreibung der Lücke. Wird sie bereits vor Ablauf der Frist geschlossen, erscheint die Veröffentlichung entsprechend früher.



Anzeige
Hardware-Angebote
  1. (u. a. beide Spiele zu Ryzen 9 3000 oder 7 3800X Series, eines davon zu Ryzen 7 3700X/5 3600X/7...

DWolf 14. Okt 2018

Um das Thema mal (weils ja durch sein sollte) zu beenden: Wenn sowas wieder vorkommt...

kayozz 11. Okt 2018

Wenn ich das richtig sehe, läuft die Kommunikation ja sowieso über die Server von...


Folgen Sie uns
       


Golem-Akademie - Trainer Florian stellt sich vor

Vom Junior-Projektleiter zum IT-Director konnte Florian Schader sämtliche Facetten der IT-Welt gestalten und hat eine Leidenschaft entwickelt, diese Erfahrungen weiterzugeben. Seine Grundmotivation ist die aktive Weitergabe seiner 20-jährigen Projekt- und Leitungserfahrung im IT-Umfeld, der Erfolg von Projekten und die aktive Weiterentwicklung von Menschen. Dabei stellt er immer den Bezug zur Praxis her. Als Trainer und Coach ist er spezialisiert auf Projektmanagement und Führungskräfteentwicklung.

Golem-Akademie - Trainer Florian stellt sich vor Video aufrufen
SSD-Kompendium: AHCI, M.2, NVMe, PCIe, Sata, U.2 - ein Überblick
SSD-Kompendium
AHCI, M.2, NVMe, PCIe, Sata, U.2 - ein Überblick

Heutige SSDs gibt es in allerhand Formfaktoren mit diversen Anbindungen und Protokollen, selbst der verwendete Speicher ist längst nicht mehr zwingend NAND-Flash. Wir erläutern die Unterschiede und Gemeinsamkeiten der Solid State Drives.
Von Marc Sauter

  1. PM1733 Samsungs PCIe-Gen4-SSD macht die 8 GByte/s voll
  2. PS5018-E18 Phisons PCIe-Gen4-SSD-Controller liefert 7 GByte/s
  3. Ultrastar SN640 Western Digital bringt SSD mit 31 TByte im E1.L-Ruler-Format

Banken: Die Finanzbranche braucht eine neue Strategie für ihre IT
Banken
Die Finanzbranche braucht eine neue Strategie für ihre IT

Ob Deutsche Bank, Commerzbank oder DKB: Immer wieder wackeln Server und Anwendungen bei großen Finanzinstituten. Viele Kernbanksysteme sind zu alt für aktuelle Anforderungen. Die Branche sucht nach Auswegen.
Eine Analyse von Manuel Heckel

  1. Bafin Kunden beklagen mehr Störungen beim Online-Banking
  2. PSD2 Giropay soll bald nahezu allen Kunden zur Verfügung stehen
  3. Klarna Der Schrecken der traditionellen Banken

WLAN-Kameras ausgeknipst: Wer hat die Winkekatze geklaut?
WLAN-Kameras ausgeknipst
Wer hat die Winkekatze geklaut?

Weg ist die Winkekatze - und keine unserer vier Überwachungskameras hat den Dieb gesehen. Denn WLAN-Cams von Abus, Nest, Yi Technology und Arlo lassen sich ganz einfach ausschalten.
Von Moritz Tremmel

  1. Wi-Fi 6 Router und Clients für den neuen WLAN-Standard
  2. Wi-Fi 6 und 802.11ax Was bringt der neue WLAN-Standard?
  3. Brandenburg Vodafone errichtet 1.200 kostenlose WLAN-Hotspots

    •  /