La vulnerabilità, segnalata da un ricercatore e già sistemata da Facebook, consentiva di accedere ai dati salvati sul computer della vittima tramite l’invio di un link malevolo
Una vulnerabilità di WhatsApp Web avrebbe consentito ad attori malintenzionati di accedere ai file del computer dal quale la vittima stava messaggiando.
Gal Weizman, ricercatore e programmatore di PerimeterX, ha scoperto il bug. Ribattezzato come Cve-2019-18426, avrebbe permesso a un attore malevolo di accedere da remoto ai file presenti sul computer della vittima semplicemente tramite un link inviato via WhatsApp.
Facebook ha riconosciuto la vulnerabilità e in fase di patching ha specificato che è relativa a una sfortunata serie di coincidenze. Di fatti la vulnerabilità si verificherebbe solamente quando le versioni precedenti alla 0.3.9609 di WhatsApp Web comunicano con le versioni di WhatsApp per iPhone precedenti alla 2.20.10.
L’attacco
Per verificare la vulnerabilità Weizman ha eseguito un attacco cross-site (Xss) e, bypassando la sicurezza dei contenuti di WhatsApp, è stato in grado di accedere ai file presenti sul computer vittima da remoto. Per scrupolo il ricercatore ha effettuato l’attacco verso un pc e anche verso un Mac, riuscendo in entrambi i casi ad aver accesso ai file memorizzati in locale.
Tramite questo attacco il ricercatore è riuscito anche a manomettere alcuni messaggi inviati da WhatsApp Web sostituendoli con il link malevolo che, se cliccato, avrebbe “aperto le porte” all’attaccante dandogli pieno accesso all’archivio della macchina.
Un portavoce di WhatsApp ha comunicato a Wired che la società collabora “regolarmente con i principali ricercatori che si occupano di sicurezza informatica per individuare in anticipo potenziali minacce per i nostri utenti. In questo caso, abbiamo risolto un problema che avrebbe teoricamente potuto avere un impatto sugli utenti di iPhone che hanno cliccato su un link dannoso mentre usavano WhatsApp da desktop. Il bug è stato prontamente risolto attraverso un aggiornamento implementato da metà dicembre”.
La vulnerabilità è stata scoperta a fine 2019 e sottoposta a Facebook che, come promesso dal suo programma di bug bounty, ha pagato al ricercatore 12.500 dollari di ricompensa e, successivamente, ha provveduto a riparare la falla con una patch.
[notizia aggiornata alle 15:26 del 06/02/2020 inserendo la dichiarazione del portavoce di WhatsApp]
Leggi anche