CVE-2019-3568
WhatsApp VOIP Stack Buffer Overflow Vulnerability
Beschreibung
CVE-2019-3568 ist eine Buffer-Overflow-Schwachstelle im WhatsApp-VOIP-Stack, die Remote-Code-Execution über eine speziell präparierte Serie von RTCP-Paketen ermöglichte, die an eine Zieltelefonnummer gesendet wurden. Diese kritische Sicherheitslücke in der WhatsApp-Messaging-Anwendung von Meta Platforms konnte ohne jegliche Interaktion des Opfers ausgenutzt werden, da die schädlichen Pakete über die Sprachanruffunktion zugestellt wurden. Die WhatsApp-Buffer-Overflow-Schwachstelle wurde insbesondere zur Bereitstellung ausgeklügelter Überwachungsspyware gegen gezielte Personen eingesetzt. Die CISA hat CVE-2019-3568 in den KEV-Katalog mit einer Behebungsfrist bis zum 10. Mai 2022 aufgenommen, und das EPSS-Perzentil von etwa 97 % weist auf eine sehr hohe Ausnutzungswahrscheinlichkeit hin.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| < 2.18.15; < 2.18.348; < 2.19.51; < 2.19.134 | ||
| whatsapp business | < 2.19.44; < 2.19.51 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://www.securityfocus.com/bid/108329(Broken Link, Third Party Advisory, VDB Entry)
- https://www.facebook.com/security/advisories/cve-2019-3568(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-3568(US Government Resource)
Schwachstellentyp
CWE-120: Buffer Copy without Checking Size of Input (Buffer Overflow)
Die Buffer-Overflow-Schwachstelle im WhatsApp-VOIP-Stack tritt auf, wenn die Anwendung eingehende RTCP-Pakete verarbeitet, ohne die Größe der Eingabedaten ordnungsgemäß zu validieren. Bei CVE-2019-3568 veranlassen speziell präparierte RTCP-Pakete die WhatsApp-Anwendung, Daten über die Grenzen eines zugewiesenen Puffers hinaus zu schreiben, wodurch angrenzender Speicher korrumpiert und dem Angreifer die Ausführung beliebigen Codes auf dem Zielgerät ermöglicht wird.
Mehr erfahren: CWE-120 — Buffer Copy without Checking Size of Input (Classic Buffer Overflow)
Auswirkungsanalyse
CVE-2019-3568 ist über das Netzwerk aus der Ferne ausnutzbar, indem speziell präparierte RTCP-Pakete an die WhatsApp-Telefonnummer eines Ziels gesendet werden, ohne Authentifizierung und, entscheidend, ohne jegliche Benutzerinteraktion. Das Opfer muss den Anruf nicht annehmen oder irgendeine Aktion ausführen, damit der Exploit erfolgreich ist, was dies zu einer echten Zero-Click-Schwachstelle macht. Eine erfolgreiche Ausnutzung gewährt dem Angreifer Remote-Code-Execution auf dem mobilen Zielgerät und gefährdet die Vertraulichkeit aller Daten auf dem Gerät, einschließlich Nachrichten, Fotos, Kontakte, Standortdaten und Mikrofon-/Kamerazugriff. Die Integrität des Geräts ist vollständig kompromittiert, da der Angreifer persistente Überwachungssoftware installieren kann. Das EPSS-Perzentil von etwa 97 % weist auf sehr hohe Ausnutzungsaktivität hin, und die Verbindung der Schwachstelle mit gezielten Überwachungsoperationen gegen Journalisten, Aktivisten und Regierungsbeamte demonstriert ihre kritische reale Auswirkung.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung von CVE-2019-3568 bestätigt, indem sie die Schwachstelle in den KEV-Katalog mit einer Behebungsfrist bis zum 10. Mai 2022 aufgenommen hat. Das EPSS-Perzentil von etwa 97 % deutet auf sehr hohe Ausnutzungsaktivität hin. Diese WhatsApp-Schwachstelle erlangte erhebliche Aufmerksamkeit, als bekannt wurde, dass sie zur Bereitstellung von Überwachungsspyware durch Zero-Click-Ausnutzung verwendet wurde, was bedeutet, dass das Ziel lediglich einen WhatsApp-Anruf empfangen musste, um kompromittiert zu werden, ohne ihn überhaupt anzunehmen. Die Raffinesse des Exploits und seine Verwendung in gezielten Überwachungsoperationen gegen hochrangige Personen demonstriert die Verfügbarkeit hochentwickelten, waffenfähigen Exploit-Codes.
Behebung
-
WhatsApp sofort auf allen Geräten aktualisieren, wie von der CISA gefordert: „Apply updates per vendor instructions.“ Stellen Sie sicher, dass alle WhatsApp-Installationen in Ihrer Organisation die neueste Version aus den offiziellen App Stores ausführen.
-
Automatische App-Updates aktivieren auf allen mobilen Geräten, um sicherzustellen, dass WhatsApp und andere Messaging-Anwendungen Sicherheitspatches zeitnah erhalten. Für verwaltete Geräte verwenden Sie MDM-Lösungen zur Durchsetzung automatischer Update-Richtlinien.
-
Mobile-Threat-Detection-Lösungen implementieren, die Ausnutzungsversuche gegen Messaging-Anwendungen identifizieren können. Setzen Sie mobile Endpunktsicherheit ein, die verdächtiges Prozessverhalten, nicht autorisierte Code-Injektion und Indikatoren für Spyware-Installation auf verwalteten Geräten überwacht.
-
Geräteintegrität für Hochrisiko-Benutzer überprüfen, die möglicherweise vor der Patch-Anwendung gezielt angegriffen wurden. Prüfen Sie auf Indikatoren für Spyware-Installation, einschließlich ungewöhnlichem Batterieverbrauch, unerwartetem Datenverbrauch, verdächtigen Hintergrundprozessen und nicht autorisierten Modifikationen am Betriebssystem des Geräts.
-
Zusätzliche Kommunikationssicherheitsmaßnahmen erwägen für Benutzer, die mit sensiblen Informationen umgehen. Evaluieren Sie die Nutzung von Geräten mit erweiterten Sicherheitskonfigurationen, implementieren Sie netzwerkbasierte Überwachung verdächtiger VOIP-Verkehrsmuster und etablieren Sie Protokolle für sichere Kommunikation in Hochrisikoszenarien.
Technische Details
CVE-2019-3568 ist eine Buffer-Overflow-Schwachstelle (CWE-120) im Voice-over-IP-Stack von WhatsApp, speziell in der Verarbeitung von RTCP-Paketen (Real-time Transport Control Protocol) während des Anrufaufbaus. Die Schwachstelle entsteht durch unzureichende Grenzwertprüfungen, wenn die WhatsApp-Anwendung eingehende RTCP-Paketdaten verarbeitet, wobei eine speziell präparierte Paketfolge die Anwendung dazu veranlassen kann, mehr Daten in einen Puffer zu kopieren als dessen zugewiesene Größe erlaubt, was angrenzenden Speicher überschreibt. Dieser Buffer Overflow kann aus der Ferne ausgelöst werden, indem ein WhatsApp-Sprachanruf an die Telefonnummer des Ziels initiiert und die schädlichen RTCP-Pakete als Teil der Anrufsignalisierung gesendet werden, was ihn als Zero-Click-Angriff ausnutzbar macht. Die durch den Buffer Overflow erlangte Codeausführung läuft mit den Berechtigungen der WhatsApp-Anwendung, die auf mobilen Plattformen typischerweise Zugriff auf Kontakte, Nachrichten, Kamera, Mikrofon und Standortdaten hat.
Häufig gestellte Fragen
Wird CVE-2019-3568 aktiv ausgenutzt?
Ja, CVE-2019-3568 wurde aktiv ausgenutzt. Die CISA hat diese Schwachstelle in den KEV-Katalog mit einer Behebungsfrist bis zum 10. Mai 2022 aufgenommen. Die Schwachstelle wurde zur Bereitstellung von Überwachungsspyware durch Zero-Click-Ausnutzung der WhatsApp-Sprachanruffunktion verwendet.
Welche Produkte sind von CVE-2019-3568 betroffen?
CVE-2019-3568 betrifft die WhatsApp-Messaging-Anwendung von Meta Platforms auf mehreren Plattformen, einschließlich Android und iOS. WhatsApp-Versionen vor dem Sicherheitsupdate vom Mai 2019 sind für diesen Buffer Overflow im VOIP-Stack verwundbar.
Wie behebe ich CVE-2019-3568?
Aktualisieren Sie WhatsApp auf die neueste Version auf allen Geräten. Aktivieren Sie automatische App-Updates, um sicherzustellen, dass zukünftige Sicherheitspatches zeitnah angewendet werden. Für Hochrisiko-Benutzer überprüfen Sie die Geräteintegrität auf Indikatoren für Spyware.
Wie schwerwiegend ist CVE-2019-3568?
CVE-2019-3568 ist eine äußerst schwerwiegende Zero-Click-Schwachstelle mit einem EPSS-Perzentil von etwa 97 %. Der Buffer Overflow ermöglicht Remote-Code-Execution auf mobilen Geräten über den WhatsApp-VOIP-Stack ohne jegliche Benutzerinteraktion und wurde in raffinierten Überwachungsoperationen gegen gezielte Personen eingesetzt.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.