【创科广场】WhatsApp再现漏洞 瘫痪群组成员

本港最常用的即时通讯流动应用是WhatsApp，不过亦多次发现漏洞，甚至成为被攻击目标。

最近，Check Point威胁情报部门Check Point Research协助修补WhatsApp中发现的新漏洞。该漏洞容许攻击者传递恶意群组讯息，继而导致群组所有成员所用的WhatsApp死机。若要重新使用 WhatsApp，用户需要卸载并重新安装，然后删除含有恶意讯息的群组。

恶意讯息瘫痪WhatsApp

为了制作恶意讯息，攻击者需要加入目标群组（WhatsApp群组成员上限为256人）。之后，攻击者需要使用 WhatsApp Web及Web浏览器调试工具，编辑特定讯息，然后将编辑后本文发送至群组。该讯息将导致群组成员WhatsApp瘫痪，禁止所有WhatsApp功能，直至他们重新安装WhatsApp，删除带有恶意讯息的群组。

Check Point产品漏洞研究负责人Oded Vanunu表示：「WhatsApp是全球领先的通讯渠道之一，广泛用于广大消费者、企业和政府机构，因此若能够阻止用户使用WhatsApp并逼使他们从群组中删除重要讯息，对于攻击者而言绝对是一项非常有力的武器。所有WhatsApp用户应更级至最新版本，以避免遭此类攻击。」

2019年8月28日，Check Point Research向WhatsApp漏洞报告奖励项目披露了其发现。WhatsApp确认了该发现，随即开发修复程序（自WhatsApp版本号2.19.58起提供）。用户应手动更新其设备。Oded Vanunu表示：「WhatsApp尽责地做出了快速回应，针对这一漏洞利用威胁部署了防御措施。」

WhatsApp软件工程师Ehren Kret表示：「WhatsApp非常重视技术社区工作，这些工作可帮助我们保障全球用户的安全。感谢Check Point负责任地向我们的漏洞报告奖励项目提交了其发现，我们于9月中旬快速解决了所有WhatsApp存在的这一漏洞。此外，我们最近还增添了新的控件，可防止用户被添加到不必要的群组，从而避免与不可信成员进行通讯。」

增添控件防止不可信成员通讯

Check Point Research团队通过检查WhatsApp和WhatsApp Web（WhatsApp的Web版本，会同步通过用户手机收发的所有讯息）之间的通讯发现了这一漏洞。这使研究人员可以查看WhatsApp通讯所使用的参数，并执行相应操作。新研究基于Check Point Research Check Point Research发现的「FakesApp」缺陷，后者容许攻击者编辑群组讯息以传播虚假新闻。

WhatsApp拥有15亿用户和超过10亿个群组，是全球最受欢迎的即时通讯应用程式。用户每天透过WhatsApp发送超过650亿条讯息。

全文刊于《星岛日报》「创科广场」