Lỗ hổng zero-click trong WeChat có thể bị khai thác qua cuộc gọi
"Tencent patched a zero-click memory corruption vulnerability in WeChat's VoIP stack that Calif researchers used to build a cross-platform worm, dubbed WeWorm, capable of taking over a victim's account via an incoming call on iOS and Android. The flaw could be exploited without answering the call, and Calif said it could be chained with other bugs to achieve full device compromise; Tencent fixed the issue on August 21 after confirming the findings."
Zero-click làm tăng rủi ro vì không cần tương tác người dùng; có thể dẫn tới chiếm quyền tài khoản và, khi kết hợp lỗi khác, kiểm soát thiết bị.
Có thể ảnh hưởng đến liên lạc doanh nghiệp, làm lộ dữ liệu trao đổi và gây gián đoạn nếu tài khoản bị lạm dụng để phát tán tiếp.
Tencent đã vá một lỗ hổng zero-click trong ngăn xếp VoIP của WeChat sau khi các nhà nghiên cứu cho thấy có thể biến lỗi này thành một worm đa nền tảng, được đặt tên WeWorm. Theo báo cáo, lỗ hổng memory corruption có thể cho phép kẻ tấn công chiếm quyền tài khoản chỉ bằng một cuộc gọi đến trên iOS hoặc Android, mà nạn nhân không cần nghe máy.
Trong thử nghiệm, tài khoản bị khai thác có thể tự động gọi sang danh bạ tin cậy và lặp lại chuỗi tấn công. Nhóm nghiên cứu cho biết việc từ chối cuộc gọi có thể chặn lây nhiễm, nhưng chỉ để chuông đổ hoặc nghe máy không đủ an toàn. Họ cũng cảnh báo lỗi này có thể được kết hợp với các lỗ hổng khác để mở rộng từ chiếm tài khoản sang kiểm soát thiết bị.
Tencent đã xác nhận phát hiện và phát hành bản sửa lỗi vào 21/8. Với các tổ chức đang dùng WeChat cho liên lạc nội bộ hoặc hỗ trợ khách hàng, nên cập nhật ứng dụng ngay, rà soát thiết bị di động, và tăng giám sát các cuộc gọi hoặc hành vi bất thường từ tài khoản đã tin cậy.