一名网络安全研究员刚刚发布了他在 WhatsApp 中发现的多个高危漏洞的技术详情。他表示这些漏洞如遭利用，可导致远程攻击者以各种方式攻陷数十亿用户的安全。如结合使用这些漏洞，它们可导致黑客仅发送一条特殊构造的信息使用 WhatsApp 桌面 app 就从受害者的 Windows 或 Mac 计算机远程窃取文件。这些漏洞由 PerimeterX 公司的研究员 Gal Weizman 发现，编号为 CVE-2019-18426，存在于 WhatsAPP 的浏览器版本 WhatsApp Web中。Weizman 在博客文章中表示，WhatsApp Web 易受一个潜在的危险的开发重定向缺陷影响。该缺陷可导致持久的跨站点脚本攻击，而仅向目标 WhatsApp 用户发送特别构造的信息即可触发该攻击。当毫无知觉的受害者在浏览器查看恶意信息时，该缺陷可能导致攻击者在 WhatsApp 的 web 域名上下文中执行任意代码。然而，当通过易受攻击的桌面应用查看时，恶意代码在易受攻击应用的上下文中在受检者系统上运行恶意代码。此外，WhatsApp web 域名上配置错误的内容安全策略还使得研究人员使用互联网上单独由攻击者控制的网站加载任意长度的 XSSpayload。研究人员表示，“如果 CSP 规则配置良好，那么这个 XSS 获得的权力将更小。如果能够绕过 CSP 配置，则导致攻击者窃取受害者的有价值信息、轻易加载外部 payload等等。”Weizman演示了通过访问受害者计算机主机文件内容经由 WhatsApp 执行远程文件读取攻击。除此以外，这个开放重定向缺陷可被用于操纵URL banner、预览收到包含链接信息的WhatsApp 域名并诱骗用户落入钓鱼攻击的圈套。去年，Weizman 负责任地将问题告知 Facebook 公司的安全团队，后者之后修复了这些缺陷，发布了更新版本的桌面应用并颁发给 Weizman 12.5万美元的奖励金。
https://thehackernews.com/2020/02/hack-whatsapp-web.html题图：Pixabay License
转载请注明“转自奇安信代码卫士 www.codesafe.cn”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。