Krytyczny błąd w Messengerze (Android). Można było zadzwonić do ofiary i słuchać jej audio zanim odbierze połączenie…

Podatność została zgłoszona przez Natalię Sylwanowicz z projektu Google Zero. Jak czytamy na stronie Facebooka:

This fall, Natalie Silvanovich of Google’s Project Zero reported a bug that could have allowed a sophisticated attacker logged in on Messenger for Android to simultaneously initiate a call and send an unintended message type to someone logged in on Messenger for Android and another Messenger client (i.e. web browser). It would then trigger a scenario where, while the device is ringing, the caller would begin receiving audio either until the person being called answers or the call times out. 

W szybkim tłumaczeniu: atakujący dzwoni do ofiary na Messengerze, a następnie wysyła jej pewien złośliwy komunikat. Komunikat ten umożliwiał dostęp atakującemu do strumienia audio ofiary (zanim odebrała ona połączenie). Idealny sposób na podsłuchiwanie, prawda?

Całość dotyczy aplikacji androidowej, a Google P0 załączył nawet Proof of Concept działający na wersji 284.0.0.16.119 Messengera.

Facebook załatał buga, wypłacając nagrodę w wysokości $60 000 (przysługującą błędom o największym impakcie).

–ms