Un grupo de investigadores de seguridad internacional descubrió e informó recientemente que existe una vulnerabilidad crítica en la aplicación WhatsApp, que podría permitir que los atacantes potenciales accedan a los sistemas de archivos locales de los usuarios en plataformas macOS y Windows.
Específicamente, se trata de una vulnerabilidad de Cross-Site Scripting (XSS) que existe en el proceso de emparejamiento entre la aplicación de escritorio WhatsApp (WhatsApp Desktop) y la aplicación WhatsApp para iPhone. Si se explota con éxito, permitirá a los piratas informáticos acceder al sistema de archivos local del dispositivo.
Todas las versiones de WhatsApp Desktop anteriores a la v0.3.9309 se vieron afectadas por este problema al configurar el proceso de emparejamiento con versiones de WhatsApp para iPhone a partir de la 2.20.10.
Esta vulnerabilidad se rastreó con el identificador CVE-2019-18426 y la gravedad fue bastante alta (8.2). Esto se debe a que se puede explotar de forma remota, pero CVE-2019-18426 también requiere que la interacción del usuario sea exitosa.
La falla fue descubierta por el investigador Perimx Gal Weizman cuando encontró una anomalía en la Política de seguridad de contenido (CSP) de WhatsApp, que permitía la inserción maliciosa a través de scripts para ejecutarlos en el lado del cliente, una forma típica de ataque XSS. El mecanismo de ataque se describe a continuación.
La falla aparece en las versiones de Windows y Mac de la aplicación, en el proceso de administrar banners o ver enlaces web en mensajes. JavaScript incrustado en un banner malicioso puede evitar la protección de las víctimas y el acceso al sistema de archivos local. Según los investigadores, el corazón de la falla radica en la herramienta de navegación Chromium en el marco de aplicación de Electron. WhatsApp se basa en este marco para proporcionar una interfaz de usuario para sus clientes de escritorio. Luego, el pirata informático puede piratear el mensaje de notificación que parece completamente normal, cuando la víctima hace clic en la vista previa del enlace adjunto de un mensaje creado por el pirata informático.
No hubo informes sobre la explotación real de la falla, y Facebook también lanzó el parche correspondiente. Sin embargo, también se recomienda a los usuarios que actualicen sus aplicaciones a la última versión para minimizar cualquier riesgo potencial.
Un grupo de investigadores de seguridad internacional descubrió e informó recientemente que existe una vulnerabilidad crítica en la aplicación WhatsApp, que podría permitir que los atacantes potenciales accedan a los sistemas de archivos locales de los usuarios en plataformas macOS y Windows.
Específicamente, esta es una vulnerabilidad de Cross-Site Scripting (XSS) que existe en el proceso de emparejamiento entre la aplicación de escritorio de WhatsApp (WhatsApp Desktop) y la aplicación de WhatsApp para iPhone. Si se explota con éxito, permitirá a los piratas informáticos acceder al sistema de archivos local del dispositivo.
Todas las versiones de WhatsApp Desktop anteriores a la v0.3.9309 se vieron afectadas por este problema al configurar el proceso de emparejamiento con versiones de WhatsApp para iPhone a partir de la 2.20.10.
Esta vulnerabilidad se rastreó con el identificador CVE-2019-18426 y la gravedad fue bastante alta (8.2). Esto se debe a que se puede explotar de forma remota, pero CVE-2019-18426 también requiere que la interacción del usuario sea exitosa.
La falla fue descubierta por el investigador Perimx Gal Weizman cuando encontró una anomalía en la Política de seguridad de contenido (CSP) de WhatsApp, que permitía la inserción maliciosa a través de scripts para ejecutarlos en el lado del cliente, una forma típica de ataque XSS. El mecanismo de ataque se describe a continuación.
La falla aparece en las versiones de Windows y Mac de la aplicación, en el proceso de administrar banners o ver enlaces web en mensajes. JavaScript incrustado en un banner malicioso puede evitar la protección de las víctimas y el acceso al sistema de archivos local. Según los investigadores, el corazón de la falla radica en la herramienta de navegación Chromium en el marco de aplicación de Electron. WhatsApp se basa en este marco para proporcionar una interfaz de usuario para sus clientes de escritorio. Luego, el pirata informático puede piratear el mensaje de notificación que parece completamente normal, cuando la víctima hace clic en la vista previa del enlace adjunto de un mensaje creado por el pirata informático.
No hubo informes sobre la explotación real de la falla, y Facebook también lanzó el parche correspondiente. Sin embargo, también se recomienda a los usuarios que actualicen sus aplicaciones a la última versión para minimizar cualquier riesgo potencial.