Уязвимость нашли в процессе загрузки фотографии с устройства в приложение через кодер Mozjpeg. В этой свободно распространяемой программе обнаружили брешь.
Для проведения атаки хакерам необходимо было прислать особое фото, которое жертва должна была сохранить на смартфоне. По данным специалистов по кибербезопасности, баг позволил злоумышленникам заполучить контроль над аккаунтом в Instagram и не только. Внутри приложения у хакеров появлялся доступ к сообщениям и изображениям, возможность делать и удалять посты. Также атаковавшие могли «превратить смартфон в устройство для шпионажа» — ведь уязвимость предоставляла доступ к контактам, камере и геолокации смартфона.
В Check Point подчеркнули, что оповестили о проблеме владельца соцсети — компанию Facebook. Вскоре Instagram выпустил обновление с исправлением ошибки, однако уязвимость все еще присутствует у пользователей, которые пока не установили последнюю версию приложения.