Noch jemand mit WhatsApp unterwegs? Es wurde ein neuer Bug entdeckt, der Angreifern die Installation von Spyware auf den Geräten der WhatsApp-Nutzer ermöglicht.
Anzeige
Ich selbst schaue der Geschichte sehr entspannt zu, da ich WhatsApp seit 2018 aus Datenschutzgründen gekickt habe (die DSGVO ließ keine andere Wahl). Wenn ich mir aber so die letzten Meldungen aus 2019 zu WhatsApp hier im Blog (siehe Link-Liste am Artikelende) ansehe, müsste es jedem WhatsApp-Nutzer kalt den Rücken hinunter laufen. Die Apps des zu Facebook gehörenden Anbieters sind eine wandelnde Sicherheitslücke. Speziell die Geschichte, die ich im Blog-Beitrag Entscheidungsträger in der WhatsApp-Falle? thematisiert habe, hat es in sich.
Neue Schwachstelle heimlich geschlossen
The Hacker News berichtet hier, dass WhatsApp letzten Monat stillschweigend eine weitere kritische Schwachstelle in seiner App gepatcht habe. Diese Schwachstelle könnte Angreifern ermöglicht haben, bestimmte Geräte zu kompromittieren und möglicherweise gesicherte Chatnachrichten und Dateien, die auf ihnen gespeichert sind, zu stehlen.
Die Schwachstelle CVE-2019-11931 wird durch ein Stack-basierenden Pufferüberlauf (buffer overflow) verursacht. Dieser stapelbasierter Pufferüberlauf kann ausgelöst werden, indem eine speziell gestaltete MP4-Datei an einen WhatsApp-Benutzer gesendet wird. Das Problem tritt beim Parsen der elementaren Stream-Metadaten einer MP4-Datei auf und der Pufferüberlauf konnte zu einem Denial-of-Service (DoS) oder Remote-Code-Ausführungsangriffen (RCE) führen. Die Schwachstelle betrifft
- Android-Versionen vor 2.19.274,
- iOS-Versionen vor 2.19.100,
- Enterprise Client Versionen vor 2.25.3,
- Business für Android-Versionen vor 2.19.104
- und Business für iOS-Versionen vor 2.19.100.
Updates für die Apps sollten verfügbar sein. Facebook hat zum 14. November 2019 diesen Sicherheitshinweis herausgegeben. Aktuell ist nicht bekannt, ob diese Schwachstelle in der Realität ausgenutzt wurde, um WhatsApp-Nutzer auszuspähen.
Ähnliche Artikel:
Android-Schwachstelle: Trojaner liest WhatsApp mit
WhatsApp Schwachstelle CVE-2019-3568: Update erforderlich
Agent Smith für Android & WhatsApp: bald in Deutschland?
Sicherheit: WhatsApp-Nachrichten manipulierbar
Entscheidungsträger in der WhatsApp-Falle?
2015
https://www.heise.de/security/meldung/Grosser-Lausch-Anruf-Signal-fuer-Android-nimmt-selbsttaetig-Anrufe-an-4546500.html
Signal ist leider auch nicht frei von Bugs, aber persönlich mein Favorit in Sachen Sicherheit. Bei Whatsapp bin ich fest überzeugt, dass im Zweifel auch Geheimdienste die Curve25519-Keys aus der Datenbank des Phone extrahieren dürfen. Wie würden sonst die Cloud-Backups funktionieren die bei Gerätewechsel die Nachrichten auf ein neues Smartphone importieren können?
Das wäre dann so ähnlich wie bei den alten Video-Standards: Ich habe zwar das BESSERE Video 2000 System, nur leider gibt es niemand, mit dem ich mich austauschen kann, weil alle VHS haben. Versuchen Sie doch mal bei jungen Leuten ein anderes System einzuführen.