1
• Команда Google Project Zero опубликовали информацию об уязвимости в WhatsApp* для Android после того, как компания не смогла исправить её в течение 90 дней.
• Суть заключается в том, что злоумышленник может назначить контакт жертвы администратором группы и отправлять вредоносный файл, который автоматически загрузится на целевое устройство без какого-либо взаимодействия со стороны человека. Этот медиафайл будет загружен в базу данных MediaStore, и если он сможет выйти за пределы этой среды, то будет использоваться как эксплойт, позволяющий атаковать жертв без какого-либо взаимодействия.
• Для использования уязвимости необходимо знать номер телефона жертвы. А для успешной эксплуатации у жертвы должна быть включена автоматическая загрузка медиафайлов (по умолчанию установлена автозагрузка через Wi-Fi).
• Google Project Zero сообщил об этой уязвимости в частном порядке 1 сентября 2025 года, предоставив стандартные 90 дней на исправление проблемы. 4 декабря вышло частичное исправление для устранения этой уязвимости, но полное исправление всё ещё находится в разработке. С тех пор не было опубликовано никаких апдейтов.
• Ранее упоминалась только уязвимость WhatsApp для Android. Тем, кто использует эту версию, рекомендуют включить расширенную конфиденциальность чата, перейдя в него, нажав на значок с тремя точками, выбрав "Информация о группе" и активировав соответствующую опцию. Однако пользователи могут быть уязвимы в ситуациях, когда их уже добавили в группу без ведома, и атака началась. Поэтому также лучше отключить автоматическую загрузку медиа, перейдя в "Настройки" - "Хранилище и данные" - "Автоматическая загрузка медиафайлов".
➡️ https://project-zero.issues.chromium.org
*Принадлежит компании Meta, признанной экстремистской и запрещенной в РФ
#Исследование