WhatsApp 被曝新漏洞，可被用于在设备上安装间谍软件

十月份，Facebook 起诉以色列移动监控公司 NSO Group 利用 WhatsApp 中的一个严重漏洞将 Pegasus 间谍软件远程安装在目标安卓和 iOS 设备上。

此波未平又起一波。TheHacker News 表示上个月 WhatsApp 悄悄地修复了另外一个严重的漏洞，可导致攻击者远程攻陷目标设备并可能窃取机密的聊天消息和存储的文件。

该漏洞的编号是CVE-2019-11931，是一个栈缓冲区溢出漏洞，产生的原因在于此前 WhatsApp 版本在解析某 MP4 文件的基本流元数据的方式时会导致拒绝服务或远程代码执行攻击。

要远程利用该漏洞，攻击者只需获得目标用户的电话号码并通过 WhatsApp 发送恶意构造的 MP4 文件即可，从而导致静默地在受攻陷设备安装恶意后门或间谍应用。

该漏洞影响所有主流平台如谷歌安卓、苹果iOS 和微软 Windows 上的客户以及 WhatsApp 的企业版。Facebook 表示受影响的应用版本如下：

• 2.19.274版本之前的安卓版本

• 2.19.100版本之前的 iOS 版本

• 2.25.3版本之前的企业客户端版本

• 2.18.368及之前版本的 Windows Phone 版本

• 2.19.104版本之前的安卓企业版本

• 2.19.100版本之前的iOS 企业版本

这个新修复的漏洞的影响范围和严重程度类似于此前 NSO Group 在近1400款目标安卓和 iOS 设备上安装 Pegasus 间谍软件时利用的 WhatsApp VoIP 通话漏洞。

截至目前，尚不清楚该 MP4漏洞在修复前是否已遭利用。目前 Facebook 和 WhatsApp 尚未置评。

如果有用户怀疑自己是可能的监控目标之一并在近几个月内从未知号码收到随机的 MP4 视频文件，则可留意事件的最新进展。我们也将持续关注事件动态。