Trusted Design

解説:

CVE-2019-3568について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2019-3568は、WhatsAppのVOIPスタックにおけるバッファオーバーフローの脆弱性です。特に、ヒープベースのバッファオーバーフローに分類されます。 攻撃者は、特別に細工されたRTCP（Real-time Transport Control Protocol）またはSRTCPパケットをターゲットの電話番号に送信することにより、リモートで任意のコードを実行する（Remote Code Execution: RCE）ことが可能です。 この攻撃は、ターゲットがWhatsAppの着信に応答したり、その他のユーザーインタラクションを必要としない「ゼロクリック」で実行されます。 この脆弱性の根本原因は、VOIPスタック内でのメモリバッファの不適切な処理にあります。

1.1 影響

この脆弱性が悪用された場合、以下のような重大な影響が生じる可能性があります。

• リモートコード実行 (RCE): 攻撃者はターゲットデバイス上で任意のコードを実行できます。
• デバイスの不正なアクセスと制御: 攻撃者は影響を受けるデバイスへの不正なアクセスと制御を確立できます。
• データ漏洩: 機密情報や個人データが盗取される可能性があります。
• スパイウェアのインストール: Pegasusなどのスパイウェアがインストールされ、デバイスが監視される可能性があります。
• 機密情報へのアクセス: テキストメッセージ、通話記録、連絡先情報、位置情報、マイクやカメラのデータなどにアクセスされる恐れがあります。
• 通信サービスの妨害: 通信サービスが中断される可能性があります。
• 証拠隠蔽: 攻撃者は着信履歴を改ざんして、感染経路を隠蔽する可能性があります。

1.2 深刻度

• CVSSv3スコア: 9.8（Critical）。
• 深刻度分類: Critical（緊急）。
• CVSSv3ベースメトリクス:
  • 攻撃元区分 (Attack Vector): ネットワーク (Network)
  • 攻撃複雑度 (Attack Complexity): 低 (Low)
  • 必要な特権レベル (Privileges Required): 不要 (None)
  • ユーザーインタラクション (User Interaction): 不要 (None)
  • スコープ (Scope): 変更なし (Unchanged)
  • 機密性への影響 (Confidentiality Impact): 高 (High)
  • 完全性への影響 (Integrity Impact): 高 (High)
  • 可用性への影響 (Availability Impact): 高 (High)
• CISAのKnown Exploited Vulnerabilities (KEV) カタログへの追加: この脆弱性は、実際に悪用が確認されているCISA（米国サイバーセキュリティ・インフラセキュリティ庁）のKEVカタログに登録されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

以下のWhatsAppアプリケーションのバージョンが影響を受けます。

• Android版WhatsApp v2.19.134より前のバージョン
• Android版WhatsApp Business v2.19.44より前のバージョン
• iOS版WhatsApp v2.19.51より前のバージョン
• iOS版WhatsApp Business v2.19.51より前のバージョン
• Windows Phone版WhatsApp v2.18.348より前のバージョン
• Tizen版WhatsApp v2.18.15より前のバージョン

2.2 影響を受ける設定

特定の「設定」が脆弱性に影響を与えるわけではありません。脆弱性はWhatsAppアプリケーションのVOIPスタックのコード自体に存在するため、上記の脆弱なバージョンのWhatsAppを使用しているすべての環境が対象となります。

3. 影響を受けた時の兆候

この脆弱性による攻撃は「ゼロクリック」であり、ユーザーによる操作を必要としないため、ユーザーが直接確認できる明確な兆候はほとんどありません。 攻撃者は感染経路を隠蔽するために、通話記録を改ざんする可能性があります。 異常なバッテリー消費や予期しない再起動など、間接的な兆候が発生する可能性も理論上はありますが、攻撃者は通常、これらを避けて検出されにくいように試みます。 企業環境では、ネットワーク監視システムにより、WhatsAppの異常な通話動作を検知できる場合があります。

4. 推奨対策

4.1 本対策

• 速やかなアップデートの適用: 影響を受けるWhatsAppクライアントを、ベンダー（Meta Platforms/WhatsApp）が提供する最新バージョンに直ちにアップグレードしてください。
  • Android版WhatsApp: v2.19.134以降
  • Android版WhatsApp Business: v2.19.44以降
  • iOS版WhatsApp: v2.19.51以降
  • iOS版WhatsApp Business: v2.19.51以降
  • Windows Phone版WhatsApp: v2.18.348以降
  • Tizen版WhatsApp: v2.18.15以降
• OSの更新: モバイルデバイスのオペレーティングシステム（iOS、Android、Tizenなど）も最新のセキュリティパッチで常に最新の状態に保ってください。
• 自動更新の有効化: アプリケーションとOSの自動更新を有効にすることが推奨されます。
• この問題は、2019年5月にサーバー側の変更によっても対処されました。

4.2 暫定回避策（緩和策）

この脆弱性はゼロクリックで悪用されるため、パッチ適用以外の限定的な緩和策しかありません。

• ネットワーク制御: 不正なRTCPパケットへの曝露を制限するために、ネットワーク制御を実装することを検討してください。
• 未サポート/未パッチのプラットフォームの制限: 未サポートまたは未パッチのモバイルプラットフォームの使用を制限してください。
• 異常な挙動の監視: 企業環境においては、異常なWhatsApp通話の挙動についてモバイルテレメトリを監視し、疑わしいデバイスのフォレンジック調査を優先してください。

他に解説すべき観点

• 脆弱性の分類 (CWE): この脆弱性は、CWE-122（Heap-based Buffer Overflow）、CWE-787（Out-of-bounds Write）、またはCWE-119（Memory Corruption）に分類されます。

参照したサイト

• Appsecure Security - CVE-2019-3568 | Critical Vulnerability in WhatsApp VOIP Stack
• Reddit - CVE-2019-3568 A buffer overflow vulnerability in WhatsApp VOIP stack
• GitHub - CVE-2019-3568
• WhatsApp flaw allows hackers to hijack users' encrypted communications (CVE-2019-3568)
• XenonStack - Whatsapp CVE-2019-3568 and Zimbra CVE-2018-6882 Vulnerabilities
• Mallory.ai - WhatsApp VoIP RTCP Buffer Overflow RCE (CVE-2019-3568)
• Safeguard - CVE-2019-3568: WhatsApp VOIP Stack Buffer Overflow Vulnerability
• Positive Technologies - Zero-day vulnerability in WhatsApp Messenger for Android
• National Vulnerability Database - NVD-CVE-2019-3568
• National Cyber Security Agency (NACSA) - Announcement
• VulnTrek - CVE-2019-3568 — exploited in the wild (CISA KEV)
• Rapid7 Vulnerability Database - CVE-2019-3568: Heap-based Buffer Overflow
• Zimperium - WhatsApp Buffer Overflow Vulnerability: Under the Scope