Kritická zranitelnost v Instagramu

Výzkumníci z Check Pointu odhalili kritickou zranitelnost v Instagramu, populární aplikaci pro sdílení fotografií a videí, která má více než 1 miliardu uživatelů.

Zranitelnost by útočníkům umožnila převzít kontrolu nad instagramovým účtem oběti a zneužít napadený telefon ke špionáži. Stačilo by poslat jediný škodlivý obrázek. Když by byl obrázek uložen a otevřen v aplikaci Instagram, útočníci by získali plný přístup k instagramovým zprávám a obrázkům oběti, což by jim umožnilo na účtu oběti zveřejňovat nebo mazat obrázky podle libosti, stejně jako přístup ke kontaktům, fotoaparátu a údajům o poloze napadeného telefonu.

Jak útok funguje?

Ke zneužití zranitelnosti by útočníkům stačil jediný škodlivý obrázek. Check Point popsal útok ve třech krocích:

1. Útočník odešle obrázek na e-mail uživatele, WhatsApp nebo jinou komunikační platformu.
2. Obrázek se uloží do mobilního telefonu uživatele. To lze provést automaticky nebo ručně v závislosti na způsobu odeslání, typu mobilního telefonu a konfiguraci. Obrázek odeslaný například přes WhatsApp se ve výchozím nastavení automaticky uloží na telefon na všech platformách.
3. Oběť otevře obrázek v aplikaci Instagram, čímž dojde ke zneužití zranitelnosti, cože útočníkům umožní převzít kontrolu nad účtem a telefonem.

Převzetí kontroly nad instagramovým účtem a zneužití telefonu

Zranitelnost by útočníkům poskytla plnou kontrolu nad aplikací Instagram a umožnila bez souhlasu uživatele například číst zprávy, mazat nebo zveřejňovat fotografie nebo manipulovat profilem.

Aplikace Instagram má poměrně rozsáhlá oprávnění, takže by útočníci mohli zranitelnost zneužít k přístupu ke kontaktům v telefonu, informacím o poloze, fotoaparátu a souborům uloženým v zařízení. Telefon by se tak dal zneužít ke špionáži.

Zneužití by na té nejméně sofistikované úrovni mohlo vést ke zhroucení aplikace Instagram a odepření přístupu, dokud uživatel aplikaci ze svého zařízení neodstraní a znovu nenainstaluje. To ale může způsobit ztrátu dat a jiné komplikace.

Hrozby v kódech třetích stran

Zranitelnost se týkala Mozjpegu, open source jpeg dekodéru, který Instagram používá k nahrávání obrázků do aplikace. Check Point proto upozorňuje vývojáře aplikací na potenciální rizika spojená s knihovnami kódů třetích stran. Vývojáři aplikací často šetří čas a pro běžné úkony, jako je zpracování obrazu a zvuku nebo připojení k síti, používají kódy třetích stran. Kód třetí strany ovšem často obsahuje zranitelnosti, které mohou vést k bezpečnostním chybám v aplikaci, jako je tomu i v případě Instagramu.

Facebook tento problém okamžitě uznal a vydal záplatu pro novější verze aplikace Instagram na všech platformách.

Zdroj: Check Point