ANTICHAT — форум по информационной безопасности, OSINT и технологиям

Смайлики способны обрушить WhatsApp

Независимый исследователь Индражит Бхуян (Indrajeet Bhuyan) открыл еще один способ спровоцировать сбой популярного мессенджера WhatsApp: для этого понадобится всего лишь около 4 тыс. смайликов. Изъян имеется как в веб-версии, так и в мобильном приложении WhatsApp. Это не первая находка индийца — в прошлом году он обнаружил другой баг в WhatsApp: в том случае удаленно вызвать отказ приложения можно было при помощи сообщения из 2000 слов (2 Кбайт), набранных символами в особой кодировке. Компания-разработчик отозвалась сразу же и запатчила уязвимость, ограничив количество слов в сообщении, но не подумала об эмодзи.

По словам исследователя, в веб-версии WhatsApp длина сообщения ограничивается 6,5–6,6 тыс. символов, но после ввода около 4400 смайликов браузер начинает притормаживать. Так как заданный «лимит» еще не настал, приложение позволяет добавлять эмодзи, пока буфер не переполнится. Следствием становится отказ приложения. На видео демонстрируется PoC-атака:

Эксперимент подтвердил, что баг имеется в версии WhatsApp для Android (Marshmallow, Lollipop и KitKat), а также в веб-версии для Chrome, Opera и Firefox. Кроме того, описанная уязвимость точно имеется в самой свежей версии мессенджера. Пока патч не готов, эксперт предлагает альтернативные способы избежать проявления ошибки: можно, например, просто удалить всю переписку с человеком, приславшим вам опасное сообщение, но вернуть более ранние сообщения тогда не получится.