بيع ثغرة RCE لتطبيق واتساب على أندرويد

نوع الثغرة: تنفيذ تعليمات برمجية عن بُعد (RCE) / الهروب من وضع الحماية (Sandbox Escape) الإصدارات المتأثرة: WhatsApp for Android 2.25.xx–2.26.xx، الامتيازات التي تم الحصول عليها: تنفيذ تعليمات برمجية في سياق عملية WhatsApp (com.whatsapp) السعر: 10,000 دولار

يزعم البائع أنه يقدم ثغرة (exploit) لتطبيق WhatsApp على Android تتيح تنفيذ تعليمات برمجية عشوائية عن بُعد عبر إرسال صورة أو ملصق (sticker) مصمم خصيصًا. ووفقًا للبائع، فإن الاستغلال الناجح للثغرة يتطلب فقط تسليم الرسالة، دون أي إجراء إضافي من المستخدم.

تستخدم سلسلة الاستغلال المزعومة أخطاء type confusion وأخطاء الوصول خارج الحدود (OOB) في معالج بيانات الوسائط. ووفقًا للمؤلف، تتيح هذه الأخطاء كتابة مُتحكَّم بها في ذاكرة عملية WhatsApp وتنفيذ تعليمات برمجية داخل com.whatsapp. ويُعرض مكوّن إضافي للهروب المحدود من وضع الحماية مقابل رسوم إضافية.

يزعم البائع أن الاستغلال يعمل ضد WhatsApp for Android الإصدارات 2.25.xx–2.26.xx، الموصوفة في الإعلان بأنها النطاق المستقر الحالي وقت النشر. ويُزعم أن الاختبار تم على هواتف Google Pixel 8 وPixel 8 Pro وSamsung Galaxy S24 التي تعمل بنظام One UI.

بالإضافة إلى ذلك، ووفقًا للمؤلف، يحدث تنفيذ التعليمات البرمجية مباشرة في الذاكرة، دون تثبيت APK. ولا تتضمن الحزمة آلية استمرارية (persistence). وتشمل عملية التسليم الحمولة الأولية (initial payload)، ومُحمِّلًا (loader)، وقالبًا أساسيًا للتواصل مع خادم القيادة والتحكم (command-and-control server).