Lek in WhatsApp Desktop kon toegang tot lokale bestanden geven
Facebook heeft een beveiligingslek in WhatsApp Desktop verholpen waardoor aanvallers toegang tot lokale bestanden van gebruikers hadden kunnen krijgen. WhatsApp-gebruikers kunnen via WhatsApp Desktop vanaf hun computer met anderen chatten. Hiervoor moet de applicatie wel zijn gekoppeld met een telefoon.
Wanneer een kwetsbare versie van WhatsApp Desktop werd gekoppeld met WhatsApp voor iPhone had een aanvaller door cross-site scripting toegang tot lokale bestanden kunnen krijgen wanneer de gebruiker een kwaadaardige link zou openen. De kwetsbaarheid werd gevonden door beveiligingsonderzoeker Gal Weizman. De onderzoeker stelt dat het beveiligingslek ook remote code execution mogelijk zou maken, waardoor het systeem had kunnen worden overgenomen. Hij ontwikkelde echter geen exploit om een dergelijke aanval te demonstreren.
Weizman waarschuwde Facebook, dat het probleem vervolgens patchte. "Het is 2020 en geen product zou via een enkel bericht van het bestandssysteem moeten kunnen lezen of in potentie remote code moeten kunnen uitvoeren", zo laat de onderzoeker weten. De kwetsbaarheid is op een schaal van 1 tot en met 10 wat betreft de ernst met een 8,2 beoordeeld. Gebruikers krijgen het advies om te updaten naar WhatsApp Desktop versie 0.3.9309 of nieuwer en WhatsApp voor iPhone versie 2.20.10 en nieuwer.
Dat lek is dan enige tijd geleden gedicht, want de actuele versie is 0.4.316 welke al 24 januari uitgegeven is. De genoemde veilige versie is dus nog ouder.
Ik beweer dat al jaren. Het is gewoon te vaak en overlappend lek. Met andere woorden, er wordt permanente toegang geboden tot die backdoor gevonden word. Paar maanden later zit ie op een andere plek. Dat gaat al zo sinds dat van feesboek is. Telegram is grofweg het zelfde van opzet en heeft dit soort problemen VEEEEEEEL minder.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
