WhatsApp漏洞可能会让攻击者访问你电脑上的文件

一名网络安全研究人员今天披露了他在WhatsApp中发现的多个高严重性漏洞的技术细节，如果利用这些漏洞，远程攻击者可能会以不同方式危害数十亿用户的安全。

如果将这些问题结合在一起，黑客甚至可以通过WhatsApp桌面应用程序发送一条精心编制的消息，从受害者的Windows或Mac电脑上远程窃取文件。

由PerimeterX研究人员Gal Weizman发现，并被追踪为CVE-2019-18426WhatsApp Web是世界上最流行的消息传递应用程序的浏览器版本，它也为其基于电子的跨平台应用程序提供了支持，用于桌面操作系统。

在今天发布的一篇博客文章中，魏茨曼透露WhatsApp Web易受一个潜在危险的开放重定向漏洞的攻击，该漏洞导致持续的跨站点脚本攻击，这可能是通过向目标WhatsApp用户发送精心编制的消息触发的。


如果一个毫无防备的受害者通过浏览器查看恶意消息，该漏洞可能会允许攻击者在WhatsApp的web域上下文中执行任意代码。

然而，当通过易受攻击的桌面应用程序查看时，恶意代码会在易受攻击的应用程序上下文中的收件人系统上运行。

此外，WhatsApp web域上配置错误的内容安全策略还允许研究人员使用iframe从互联网上由攻击者控制的单独网站加载任意长度的XSS有效载荷。

研究人员说：“如果CSP规则配置得当，这个XSS获得的能量会小得多。能够绕过CSP配置，攻击者可以从受害者那里窃取有价值的信息，轻松加载外部有效负载，等等。”。


如上图所示，魏茨曼通过从受害者的计算机访问主机文件的内容，演示了WhatsApp上的远程文件读取攻击。

除此之外，开放重定向漏洞还可能被用来操纵URL横幅，当收件人收到包含链接的消息时，WhatsApp域的预览会显示给他们，并诱使用户落入钓鱼攻击的陷阱。

魏茨曼去年负责地向Facebook安全团队报告了这些问题，后者随后修补了缺陷，发布了其桌面应用程序的更新版本，并根据公司的漏洞奖励计划向魏茨曼奖励了12500美元。