La vulnerabilità di WhatsApp con patch potrebbe aver esposto i dati degli utenti
I ricercatori di sicurezza di Check Point hanno recentemente rilasciato informazioni su una vulnerabilità esistente all'interno di WhatsApp che avrebbe potuto essere sfruttata per ottenere l'accesso illegale a informazioni sensibili dell'utente. Da allora il problema è stato corretto da WhatsApp e non interessa le versioni correnti dell'applicazione, ma Check Point ha pubblicato il suo rapporto completo proprio ora.
Il problema in questione è codificato come CVE-2020-1910 ed è stato assegnato un punteggio di base elevato di 7,8. È descritto dai ricercatori di Check Point come un bug di lettura-scrittura fuori dai limiti. Il rapporto fornisce maggiori dettagli su come esattamente la vulnerabilità avrebbe potuto essere sfruttata.
Il bug ruota attorno all'utilizzo degli strumenti di filtro delle immagini di WhatsApp. Sebbene i passaggi e le circostanze che circondano la vulnerabilità sfruttabile siano un po' complicati, potrebbero essere facilmente riprodotti durante i test.
Se un utente aprisse un'immagine allegato inviata da un malintenzionato, contenente un file che è stato alterato in modo dannoso, ad esempio una gif malformata, quindi applicasse uno dei filtri immagine dell'applicazione e infine rispedisse l'immagine, ciò potrebbe portare all'esposizione dei dati.
L'applicazione non esegue il controllo del formato quando si lavora con immagini originali e di destinazione e può essere indotta a bloccarsi utilizzando file di immagine non validi.
Il problema è stato segnalato da Check Point già a novembre 2020 ed è stato da tempo corretto da WhatsApp, che lo ha menzionato nel rapporto di consulenza sulla sicurezza dell'azienda pubblicato all'inizio del 2021.
Questa vulnerabilità evidenzia l'importanza di mantenere ogni singola applicazione che tieni su qualsiasi dispositivo che possiedi aggiornata alla sua versione più recente. Quando un'app è popolare come WhatsApp, con i suoi miliardi di utenti in tutto il mondo, il potenziale per i criminali che abusano di problemi simili e vulnerabilità zero-day e raccolgono enormi quantità di dati anche da una piccola frazione della base utenti dell'applicazione è considerevole.
La vulnerabilità CVE-2020-1910 è stata corretta in WhatsApp a partire dalla versione 2.21.2.13 e successive.