A companhia de segurança Check Point anunciou nesta quinta-feira (24) que seu time de pesquisadores descobriu uma vulnerabilidade crítica na rede social Instagram. Que, se utilizada, poderia dar acesso a arquivos como contatos, câmera e armazenamento do dispositivo móvel, dentro de um sistema conhecido no mercado de segurança como execução arbitrária de código (ou Remote Code Execution, em inglês).
De acordo com a companhia, a vulnerabilidade foi encontrada em um encoder de código aberto chamado Mozjpeg, utilizado pela Instagram para fazer o upload das imagens publicadas pelos usuários de forma a reduzir ao máximo o tamanho da foto enviada sem perder a qualidade da resolução.
“A maioria dos desenvolvedores modernos não escreve o aplicativo inteiro por conta própria e, em vez disso, eles usam bibliotecas de terceiros para lidar com tarefas comuns (e muitas vezes complicadas), como processamento de imagem, processamento de som, conectividade de rede e assim por diante”, explica a empresa em parte do comunicado.
“Isso [utilizar recursos já criados] libera os desenvolvedores para lidar apenas com as tarefas de modificação que representam a lógica de negócios principal do aplicativo.”
A empresa já notificou o Facebook, dono da rede social de imagens, que já corrigiu o problema. A companhia de segurança recomenda olhar o aplicativo na loja (App Store ou Google Play) para ter a certeza de que ele está atualizado.
A Check Point explica que, por meio do Mozjpeg, um criminoso poderia tomar o controle do aparelho de uma vítima por meio das seguintes ações:
Segundo Yaniv Balmas, chefe de pesquisas da Check Point, a descoberta de vulnerabilidade levantou a discussão sobre dois tópicos:
“Na prática, esta é uma das linhas de defesa mais fortes que todos têm contra ciberataques móveis, e eu aconselho a todos a parar um minuto e pensar se realmente querem dar a um determinado aplicativo o acesso à minha câmera, ao meu microfone e assim por diante”, completa Balmas.
