Patchet WhatsApp -sårbarhed kunne have udsatte brugerdata
Sikkerhedsforskere med Check Point offentliggjorde for nylig oplysninger om en sårbarhed, der eksisterede i WhatsApp, som kunne have været udnyttet til at få ulovlig adgang til følsomme brugeroplysninger. Problemet er siden blevet lappet af WhatsApp og påvirker ikke de nuværende versioner af applikationen, men Check Point offentliggjorde deres fulde rapport om det lige nu.
Det pågældende spørgsmål er kodificeret som CVE-2020-1910 og har fået en høj basisscore på 7,8. Det beskrives af Check Point-forskere som en læse-skrive-fejl uden for grænserne. Rapporten indeholder flere detaljer om, hvordan præcis sårbarheden kunne have været udnyttet.
Fejlen drejer sig om at bruge WhatsApp billedfilterværktøjer. Selvom trinene og omstændighederne omkring den udnyttelige sårbarhed er lidt indviklede, kan de let gengives i test.
Hvis en bruger ville åbne et vedhæftningsbillede sendt af en dårlig aktør, der indeholder en fil, der er blevet læst på en ondsindet måde, for eksempel en misdannet gif, derefter anvendte et af programmets billedfiltre og endelig sendte billedet tilbage, kan dette føre til dataeksponering.
Applikationen udfører ikke formatkontrol, når du arbejder med original- og destinationsbilleder, og kan blive narret til at gå ned ved at bruge misdannede billedfiler.
Problemet blev rapporteret af Check Point allerede i november 2020 og er for længst blevet lappet af WhatsApp, der nævnte det i virksomhedens sikkerhedsrådgivende rapport, der blev offentliggjort i begyndelsen af 2021.
Denne sårbarhed understreger vigtigheden af at holde hver eneste applikation, du beholder på enhver enhed, du ejer, opdateret til den nyeste version. Når en app er lige så populær som WhatsApp med sine milliarder af brugere over hele verden, er potentialet for kriminelle, der misbruger lignende problemer og nul-dages sårbarheder og høster enorme mængder data, selv fra en lille brøkdel af applikationens brugerbase, betydeligt.
Sårbarhed CVE-2020-1910 er blevet rettet i WhatsApp fra version 2.21.2.13 og nyere.