WhatsApp, grave falla di sicurezza presente sulla versione desktop: come proteggersi

WhatsApp, grave falla di sicurezza presente sulla versione desktop: come proteggersi

La vulnerabilità consente ad un malintenzionato, realizzando un messaggio con particolari caratteristiche, di accedere ai file presenti sul sistema.

di pubblicata il , alle 12:01 nel canale Telefonia
WhatsApp
 

Facebook ha diramato un avvertimento per una falla di sicurezza presente in WhatsApp Desktop che può consentire ad un attaccante di sfruttare la tecnica di cross-site scripting per accedere ai file presenti sui sistemi desktop/notebook Mac o Windows usando un messaggio appositamente costruito. L'attaccante potrebbe, in questo modo, riuscire a recuperare i contenuti dei file sul computer dell'utente che si trova all'altro capo del canale di comunicazione e a cui viene inviato il messaggio, e potenzialmente compiere altre azioni illecite.

La falla è stata scoperta dal ricercatore di sicurezza Gal Weizman di PerimeterX ed è il risultato di una vulnerabilità nel modo in cui è stata condotta l'implementazione di Whatsapp desktop sfruttando il framework Electron, che già in passato aveva mostrato esso stesso alcuni problemi di sicurezza. Electron è uno strumento che gli sviluppatori possono usare per realizzare facilmente applicazioni cross-platform basate su tecnologie Web e browser, ma è ovviamente tanto sicuro quanto lo sono i componenti che gli sviluppatori allestiscono all'interno delle app che stanno realizzando con questo framework.

Weizman ha individuato la prima volta le vulnerabilità cross-site scripting di WhatsApp nel 2017, quando ha scoperto la possibilità di manomettere i metatadi dei messaggi, fabbricare banner di anteprima fasulli a partire da link a pagine web e creare URL capaci di offuscare un'intenzione ostile all'interno dei messaggi WhatsApp. Il ricercatore ha proseguito le sue attività di indagine nel client Whatsapp scoprendo di poter iniettare codice JavaScript all'interno dei messaggi, codice che sarebbe poi stato eseguito all'interno di WhatsApp Desktop per ottenere in questo modo l'accesso al filesystem locale usando l'API JavaScript Fetch.

Tutto ciò è stato possibile perché le versioni vulnerabili di WhatsApp Desktop sono state sviluppate usando una vecchia versione, nota per alcune vulnerabilità, del browser engine Chrome di Google. Le versioni più recenti di Chromium individuano e neutralizzano il codice dannoso.

La vulnerabilità interessa le versioni di WhatsApp Desktop dalla 0.3.9309 e precedenti, abbinate con l'app per iPhone dalla versione 2.20.10 e precedenti.. Facebook ha rilasciato nuove versioni di WhatsApp desktop che usano il componente browser aggironato.

"Collaboriamo regolarmente con i principali ricercatori che si occupano di sicurezza informatica per individuare in anticipo potenziali minacce per i nostri utenti. In questo caso, abbiamo risolto un problema che avrebbe teoricamente potuto avere un impatto sugli utenti di iPhone che hanno cliccato su un link dannoso mentre usavano WhatsApp da desktop. Il bug è stato prontamente risolto attraverso un aggiornamento implementato da metà dicembre" è la posizione ufficiale espressa da WhatsApp tramite un portavoce."

Resta aggiornato sulle ultime offerte

Ricevi comodamente via email le segnalazioni della redazione di Hardware Upgrade sui prodotti tecnologici in offerta più interessanti per te

Quando invii il modulo, controlla la tua inbox per confermare l'iscrizione.
Leggi la Privacy Policy per maggiori informazioni sulla gestione dei dati personali

8 Commenti
Gli autori dei commenti, e non la redazione, sono responsabili dei contenuti da loro inseriti - info
Sandro kensan06 Febbraio 2020, 12:35 #1
Pavel Durov di Telegram lo aveva detto che WA è la backdoor della NSA.
nTi006 Febbraio 2020, 12:41 #2
Originariamente inviato da: Sandro kensan
Pavel Durov di Telegram lo aveva detto che WA è la backdoor della NSA.

se vedono in particolare una delle mie chat più che fare gli analisti passano il tempo a ridere
maxnaldo06 Febbraio 2020, 12:48 #3
Originariamente inviato da: nTi0
se vedono in particolare una delle mie chat più che fare gli analisti passano il tempo a ridere


più che altro ridono mentre ti ciulano tutti i documenti e files che vogliono dal tuo PC.
biometallo06 Febbraio 2020, 13:05 #4
Originariamente inviato da: maxnaldo
più che altro ridono mentre ti ciulano tutti i documenti e files che vogliono dal tuo PC.

No i miei porni!!! come possono portarmeli via così!!!!

Originariamente inviato da: Sandro kensan
Pavel Durov di Telegram lo aveva detto che WA è la backdoor della NSA.


Mah, in vero qui si parla di una falla dell'edizione desktop che stando all'articolo viene ereditata da una vecchia versione di chronium aggiungendo quello che trovo su pc professionale<<WhatsApp era basata su una vecchia versione di Chrome (69), mentre la versione stabile stand-alone del browser di Google era già arrivata al numero 78.>>




Comunque, resta che questo è l'ennesimo problema di sicurezza legato alla versione desktop
ulisss06 Febbraio 2020, 13:47 #5
falle wa fanno notizia.... ma quelle di telegram? non se ne parla molto, ma ne avrà anche lui
Raven06 Febbraio 2020, 17:04 #6
Originariamente inviato da: SofiaXXX
Vuoi trovare una ragazza per una notte? Benvenuto - https://********.com


Per non parlare delle falle di questo forum...
krissparker06 Febbraio 2020, 17:29 #7
Originariamente inviato da: Raven
Per non parlare delle falle di questo forum...


davide311208 Febbraio 2020, 16:03 #8
Originariamente inviato da: Sandro kensan
Pavel Durov di Telegram lo aveva detto che WA è la backdoor della NSA.


è solo marketing aggressivo... QUALSIASI routine apra porte sulla rete o comunque comunichi in modo bidirezionale, in un modo onel'altro può essere potenzialmente utilizzata per accedere ad un sistema. Si tratta solo di tempo e pazienza, ma nemmeno una cifratura a 256 bit può garantire l'inviolabilità, e questo è un dato di fatto matematicamente inopinabile.

Devi effettuare il login per poter commentare
Se non sei ancora registrato, puoi farlo attraverso questo form.
Se sei già registrato e loggato nel sito, puoi inserire il tuo commento.
Si tenga presente quanto letto nel regolamento, nel rispetto del "quieto vivere".

La discussione è consultabile anche qui, sul forum.
 
^