Was entdeckt wurde
Eine schwerwiegende Schwachstelle in der Android-Version des Messenger-Dienstes von Facebook wurde behoben. Ein Angreifer hätte theoretisch aus der Ferne Audioverbindungen starten können, ohne dass die Zielperson den Anruf aktiv nimmt an hätte. Die Lücke trat durch eine fehlerhafte Verarbeitung von Signalisierungsdaten im WebRTC-Protokoll auf.
Technischer Hintergrund
WebRTC dient der Abwicklung von Audio- und Videoanrufen. Zentral ist das Session Description Protocol (SDP), das Verbindungsdaten regelt. In der betroffenen Implementierung konnte eine spezielle SDP-Nachricht den Verbindungsaufbau automatisiert auslösen. Dadurch könnte ein Angreifer eine Umgebung des Zielgeräts beaufsichtigen, während das eigentliche Telefonzeichen noch klingelte.
„Es gibt einen Nachrichtentyp der nicht für den Verbindungsaufbau nutzt wird. Wenn diese Nachricht an das Gerät des Angerufenen gesendet wird während es klingelt veranlasst sie es dazu, sofort mit der Audioübertragung zu beginnen.“
Patch und betroffene Versionen
Facebook schloss die Lücke zeitnah per Update der Android-Messenger-App. Betroffen war Version 284․0․0.16.119 gleichermaßen frühere Iterationen. Das Unternehmen bestätigte die Behebung des Problems in einem Update des Messenger-Ders.
Auswirkungen und Nutzungsvoraussetzungen
- Angreifer muss schon Berechtigungen besitzen die Zielperson zu kontaktieren (zum Exempel Freundschaft in Facebook).
- Reverse-Engineering-Werkzeuge sind notwendig um die eigene Messenger-App zu modifizieren.
- Eine speziell manipulierte Nachricht muss an das Zielgerät gesendet werden, während es klingelt.
- Damit startet die Audioübertragung umgehend, ohne dass der Nutzer aktiv auf den Anruf reagieren muss.
Bug-Bounty und finanzielle Belohnung
Der gemeldete Fall floss in Facebooks Bug-Bounty-Programm. Die Meldung erhielt eine Preisempfehlung von 60․000 US-Dollar. Die Sicherheitsforscherin plante die Prämie an GiveWell zu spenden, eine wohltätige Organisation. Die Entdeckung reiht sich in eine Serie ähnlicher Befunde ein die ebenfalls andere Messaging-Apps betreffen haben. Die betroffenen Systeme wurden daraufhin gepatcht.
Hintergrund zum Bug-Bounty-Programm
Facebook betreibt das Programm seit 2011. Externe Forscher tragen zur Verbesserung von Sicherheit und Privatsphäre bei. Über die Jahre haben sich ergänzend als 50․000 Teilnehmer dem Programm angeschlossen. Rund 1․500 Forscher aus 107 Ländern erhielten bereits Belohnungen für entdeckte Lücken.
Kommentare