Facebook 上週四修補了適用 Android 系統之 Messenger App 中一個主要的安全瑕疵，該漏洞可能允許攻擊者在收訊者不知情或不需互動的情況下進行和連接 Messenger 語音通話。這個有可能被駭客濫用於經由 Android 手機監控 Facebook 使用者的安全弱點，是由 Google Project Zero 安全團隊研究人員 Natalie Silvanovich 在一次安全稽核期間發現的。
Silvanovich 在上週四公布的瑕疵報告中指出，該瑕疵常駐於 WebRTC 協定之中，Messenger App 會使用該協定來支援語音與視訊通話。Silvanovich 更具體地表示，該問題常駐在會話描述協定（SDP）之中，它是 WebRTC 協定的一部分。該協定會處理 WebRTC 連線的會話資料，Silvanovich 發現 SDP 訊息可能會被濫用來自動批准 WebRTC 連線，而無需使用者的互動。
「有一種不用於通話建立的訊息類型，亦即 SdpUpdate，」Silvanovich 解釋說。「如果在提醒鈴聲響起時將此訊息發送到收訊者裝置上，它將導致音訊立即開始傳輸，這有可能讓攻擊者能監控收訊者周遭的一切。」根據 Silvanovich 的瑕疵報告指出，運用此瑕疵來發動攻擊只需幾秒鐘的時間。
Google 研究人員上個月向 Facebook 通報了這個安全問題，這家社交媒體巨頭上週四發布了能修補其 Android 系統版 Messgenger App 的更新程式。Facebook 上週四指出：「這份報告所獲獎勵躋身我們史上前三大抓漏賞金之列，金額達 6 萬美元，這反映出它最大的潛在影響。」
Silvanovich 在一篇推文中指出，她因為通報該安全問題而獲得 Facebook 授贈的 60,000 美元抓漏賞金，這位 Google 研究人員最後選擇將賞金捐贈給非營利組織 GiveWell（一家會最大限度運用資金以協調舉辦各種慈善活動的慈善組織）。
在過去幾年中，Silvanovich 還發現並通報了其他即時訊息 App 中的類似安全問題，這是她的專業領域之一。在 2018 年 10 月，她在 Android 和 iOS 版 WhatsApp 中發現一個漏洞，該漏洞讓攻擊者可在使用者接聽視訊通話之後全面接管該 App。在 2019 年 7 月，Silvanovich 在 iOS iMessage App 中發現了 4 個無需互動就能觸發攻擊的安全瑕疵。在同一個月，她還發現了第 5 個 iMessage 瑕疵，該瑕疵會導致 iPhone 無法正常開機。
（首圖來源：Facebook Messenger）
