Обнаружена серьезная уязвимость в веб-версии WhatsApp

WhatsApp Web является веб-версией популярного мобильного сервиса обмена сообщениями. Специальный плагин устанавливается на браузер ПК и пользователю становятся доступны все функции, имеющиеся на смартфоне. Согласно статистике, из 900 миллионов пользователей сервиса, около 200 миллионов так же используют веб-версию приложения.

Обнаружена серьезная уязвимость в веб-версии WhatsApp

Обнаружена серьезная уязвимость в веб-версии WhatsApp

Однако недавно исследователи компании Check Point обнаружили уязвимость в плагине WhatsApp Web, позволяющая внедрять любой сторонний код на компьютер жертвы. Для этого атакующему необходимо отправить пользователю контакт формата vCard с добавлением произвольного кода, а неосторожному пользователю открыть его.

В WhatsApp оперативно отреагировали на обнаруженную уязвимость и уже выпустили необходимое обновление. Поэтому, что бы обезопасить себя от возможных атак, нужно просто установить последнюю версию WhatsApp Web.

WhatsApp Web как и мобильная версия, обладает всеми функциями передачи медиафайлов, начиная от картинок, заканчивая контактами и геокоординатами. Именно в недостаточной фильтрации контактов формата vCard и заключается уязвимость веб-приложения.

Карточка со встроенным вирусным кодом выглядит так же, как и обычная, поэтому многие пользователи и не догадаются, что открывая её, запускают вредоносную программу.

В ходе исследований, эксперт компании Казиф Декел перехватывал и изменял XMPP-запросы к серверу мессенджера и смог изменить расширения файла с карточкой контакта на .bat, что позволило отправить скрипт на ПК с системой Windows. Далее выяснилось, что перехватывать XMPP-запросы и вовсе не обязательно, и что любой грамотный пользователь путём нехитрых манипуляций может создать «заражённый» контакт на своём смартфоне.

 

1 star2 star3 star4 star5 star (1 голос, среднее: 5,00 из 5)
Загрузка...
Безопасность и баги Программы и Игры
Комментировать!

Автор: Артем Парасочка

Артем Парасочка
Администратор сайта. Увлекаюсь сайтами, SEO, яблочной продукцией, облаками и немецкими автомобилями. Люблю все синхронизировать и оптимизировать. Окончил ТГПИ.