Gepatchte WhatsApp-kwetsbaarheid kan gebruikersgegevens hebben blootgelegd
Beveiligingsonderzoekers van Check Point hebben onlangs informatie vrijgegeven over een kwetsbaarheid binnen WhatsApp die misbruikt zou kunnen zijn om illegale toegang te krijgen tot gevoelige gebruikersinformatie. Het probleem is sindsdien verholpen door WhatsApp en heeft geen invloed op de huidige versies van de applicatie, maar Check Point heeft er zojuist hun volledige rapport over gepubliceerd.
De kwestie in kwestie is gecodificeerd als CVE-2020-1910 en heeft een hoge basisscore van 7,8 gekregen. Het wordt door onderzoekers van Check Point beschreven als een out-of-bounds read-write bug. Het rapport geeft meer details over hoe de kwetsbaarheid precies zou kunnen zijn misbruikt.
De bug draait om het gebruik van de WhatsApp-beeldfiltertools. Hoewel de stappen en omstandigheden rond de exploiteerbare kwetsbaarheid een beetje ingewikkeld zijn, kunnen ze gemakkelijk worden gereproduceerd tijdens het testen.
Als een gebruiker een afbeelding van een bijlage zou openen die is verzonden door een slechte acteur, met daarin een bestand dat op een kwaadaardige manier is bewerkt, bijvoorbeeld een misvormde gif, en vervolgens een van de afbeeldingsfilters van de toepassing zou toepassen en de afbeelding uiteindelijk zou terugsturen, kan dit ertoe leiden dat tot gegevensblootstelling.
De applicatie voert geen formaatcontrole uit bij het werken met originele en bestemmingsafbeeldingen en kan worden misleid om te crashen door misvormde afbeeldingsbestanden te gebruiken.
Het probleem werd al in november 2020 door Check Point gemeld en is al lang gepatcht door WhatsApp, die het vermeldde in het beveiligingsadviesrapport van het bedrijf dat begin 2021 werd gepubliceerd.
Deze kwetsbaarheid benadrukt hoe belangrijk het is om elke afzonderlijke applicatie die u bewaart op elk apparaat dat u bezit, te updaten naar de nieuwste versie. Wanneer een app net zo populair is als WhatsApp, met zijn miljarden gebruikers wereldwijd, is het potentieel voor criminelen die soortgelijke problemen en zero-day-kwetsbaarheden misbruiken en enorme hoeveelheden gegevens verzamelen, zelfs van een klein deel van het gebruikersbestand van de applicatie, aanzienlijk.
Kwetsbaarheid CVE-2020-1910 is verholpen in WhatsApp vanaf versie 2.21.2.13 en hoger.