WhatsApp schließt kritische Sicherheitslücke in Video-Chat-Funktion

Betroffen sind die iOS- und Android-Apps. Updates stehen seit Anfang Oktober beziehungsweise Ende September zum Download bereit. Ein Hacker kann mit einem manipulierten Videoanruf, den das Opfer annimmt, die vollständige Kontrolle über die App übernehmen.

WhatsApp hat eine schwerwiegende Anfälligkeit in seiner Messaging-App beseitigt. Betroffen waren die Versionen für Android und iOS. Ein Angreifer war nach Angaben des Unternehmens in der Lage, die vollständige Kontrolle über die App zu übernehmen, sobald ein Nutzer einen eingehenden Videoanruf annahm.

WhatsApp (Bild: WhatsApp)Entdeckt wurde die Schwachstelle Ende August von der Sicherheitsforscherin Natalie Silvanovich, die für Googles Project Zero arbeitet. Sie beschreibt die Lücke als Speicherfehler in der nicht-WebRTC-Implementierung der Videokonferenzfunktion von WhatsApp. „Es kann ein Heap-Fehler auftreten, wenn die mobile WhatsApp-Anwendung ein speziell gestaltetes RTP-Paket erhält“, heißt es im Fehlerbericht von Silvanovich. „Das Problem kann auftreten, wenn ein WhatsApp-Nutzer einen Anruf von einer boshaften Person annimmt.“

Der Fehler steckt wohl nur bei den Client-Anwendungen für Android und iOS, weil WhatsApp nur dort das Real-Time Transport Protocol (RTP) für Videokonferenzen nutzt. Der Web-Client ist nicht anfällig, weil dort WebRTC zum Einsatz kommt. Zu den Clients für andere Plattformen wie Windows 10 Mobile machte die Forscherin indes keine Angaben.

Dem Eintrag im Bugtracker des Project Zero zufolge steht für Android seit dem 28. September eine gepatchte Version zur Verfügung. Der iOS-Client wurde am 3. Oktober aktualisiert. Nutzer sollten sicherstellen, dass sie die neuesten Versionen des WhatsApp-Clients einsetzen, da mit der Offenlegung des Bugs nun auch ein Proof-of-Concept und eine genaue Beschreibung der technischen Details der Schwachstelle vorliegen.

„WhatsApp legt großen Wert auf die Sicherheit seiner Nutzer. Wir arbeiten regelmäßig mit Sicherheitsforschern aus der ganzen Welt zusammen, um sicherzustellen, dass WhatsApp sicher und zuverlässig bleibt. Wir haben umgehend einen Fix mit der neuesten Version von WhatsApp veröffentlicht, um dieses Problem zu beheben“, erklärte ein WhatsApp-Sprecher gegenüber ZDNet USA. Es gebe keine Hinweise darauf, dass die Anfälligkeit aktiv ausgenutzt worden sei.

In der vergangenen Woche hatte die israelische Cybersicherheitsbehörde vor einer neuen Angriffsmethode auf schlecht gesicherte Anrufbeantworter gewarnt, die benutzt wird, um WhatsApp-Konten zu kapern. Die Technik wurde erstmals im vergangenen Jahr beschrieben und seit Herbst im großen Stil von Hackern angewendet.

HIGHLIGHT

Report: Entwicklung der Cloud-Nutzung

McAfee befragte im Rahmen der jährlichen Forschungsstudie zur Cloud-Sicherheit und der Migration zur Cloud mehr als 1.400 IT-Experten. Dieser Bericht zeigt den Stand der Dinge bei Cloud-Sicherheit auf und bietet praktische Hinweise. Jetzt herunterladen!

Themenseiten: Android, Messenger, Security, Sicherheit, WhatsApp, iOS

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

ZDNet für mobile Geräte
ZDNet-App für Android herunterladen ZDNet-App für iOS

Artikel empfehlen:

Neueste Kommentare 

1 Kommentar zu WhatsApp schließt kritische Sicherheitslücke in Video-Chat-Funktion

Kommentar hinzufügen
  • Am 12. Oktober 2018 um 11:17 von Michael Wallbaum

    Solche „RTP packets of death“ haben auch schon zu Abstürzen von SBCs und MGWs in Telko-Netzen geführt. Es ist eigentlich nur eine Frage der Zeit, wann Sicherheitslücken in RTP Stacks systematisch für Denial of Service Attacken genutzt werden. Zeit für RTP Monitoring.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *