Desenvolvimento seguro de aplicativos: A importância da segurança no Messenger iOS

Falha permitia interromper chamadas em grupo manipulando reações de emojis e termos de negação de serviço.

A descoberta é resultado de uma expansão da pesquisa sobre segurança do aplicativo e de sua capacidade de negação de serviço, que pode afetar a segurança dos usuários e reduzir a proteção contra ataques.

A vulnerabilidade, descoberta em duas versões do aplicativo, refere-se à capacidade de negação de serviço (DoS) e foi identificada pela Signal 11 Research. A falha permite que um atacante interrompa chamadas em grupo manipulando as reações de emojis. É fundamental promover a segurança e manter o aplicativo atualizado para evitar esses tipos de ataques e garantir a proteção dos usuários.

Segurança em questão: o caso do Messenger sem criptografia

A Meta, empresa matriz do Facebook, foi recentemente acusada de ter permitido que hackers explorassem uma vulnerabilidade no seu aplicativo de mensagens, o Messenger. Embora o problema tenha sido rapidamente resolvido, o incidente destaca a importância da segurança em aplicativos de tecnologia, especialmente em relação à segurança e proteção de dados dos usuários. A falta de criptografia de ponta a ponta (E2EE) em chamadas de grupo no Messenger permitiu que os hackers explorem uma brecha e causassem reações problemáticas.

Reações problemáticas e hacking: como o Messenger foi explorado

Um grupo de pesquisadores identificou que as reações de emojis em chamadas de grupo não eram criptografadas, o que permitia que eles fossem interceptados e alterados. Utilizando ferramentas como o Frida, os especialistas interceptaram e alteraram o método sendEmoji para enviar emojis inválidos, representados por sequências hexadecimais incompatíveis com caracteres Unicode. Essa entrada malformada causava falhas nos dispositivos iOS conectados à chamada, enquanto o dispositivo Android usado para enviar o emoji inválido também travava. No entanto, os demais participantes com Android permaneciam operacionais.

A segurança do Messenger e a importância da validação de entrada

A falha ocorreu porque o Messenger não validava adequadamente os dados recebidos, permitindo que uma entrada corrompida interrompesse a execução do aplicativo nos dispositivos afetados. A falta de validação de entrada é um problema comum em desenvolvimento de software e pode ser facilmente explorada por hackers. A Meta implementou correções nas versões mais recentes do aplicativo, reforçando a validação de entrada para reações de emojis. Além disso, a empresa recomenda que os usuários atualizem seus aplicativos para evitar possíveis ataques.

Lacunas na segurança do Messenger e a importância da criptografia

A vulnerabilidade não permitiu a execução remota de código (RCE), mas demonstrou lacunas na segurança de recursos não criptografados do Messenger. Além disso, a randomização do layout do espaço de endereço (ASLR) dificultou o rastreamento do código problemático. A adoção de E2EE para chats em grupo é recomendada para reduzir vulnerabilidades em funcionalidades não criptografadas. Esse incidente sublinha a necessidade de priorizar a segurança em cada detalhe de aplicativos amplamente utilizados, protegendo tanto a experiência do usuário, quanto a integridade do sistema.

Lições aprendidas: a importância da segurança e da criptografia

A descoberta enfatiza a importância de testes rigorosos, mesmo para recursos aparentemente simples, como reações de emojis. Além disso, a adoção de E2EE para chats em grupo é recomendada para reduzir vulnerabilidades em funcionalidades não criptografadas. A segurança é fundamental em aplicativos de tecnologia e a Meta, como outras empresas, deve priorizar a segurança em cada detalhe do desenvolvimento de software.

Fonte: @Olhar Digital