قد يكون لهذا الخطأ WhatsApp السماح للمهاجمين بالوصول إلى الملفات على أجهزة الكمبيوتر الخاصة بك:
كشف باحث في الأمن السيبراني اليوم عن التفاصيل الفنية الخاصة بأوجه الضعف المتعددة الشديدة التي اكتشفها في WhatsApp ، والتي ، إذا تم استغلالها ، قد سمحت للمهاجمين عن بعد بخرق أمن مليارات المستخدمين بطرق مختلفة.
عند الجمع معًا ، يمكن أن تكون المشكلات التي تم الإبلاغ عنها قد مكّنت المتسللين من سرقة الملفات عن بعد من جهاز كمبيوتر يعمل بنظام التشغيل Windows أو Mac من أحد الضحايا باستخدام تطبيق WhatsApp لسطح المكتب من خلال إرسال رسالة وضعت خصيصًا.
اكتشف الباحث الباحث في PerimeterX Gal Weizman وتتبعه كـ CVE-2019-18426 ، وكانت العيوب تكمن على وجه التحديد في WhatsApp Web ، وهو إصدار مستعرض من تطبيق المراسلة الأكثر شيوعًا في العالم الذي يعمل أيضًا على تشغيل تطبيقاتها عبر الأنظمة الإلكترونية المستندة إلى الإلكترون لأنظمة تشغيل سطح المكتب.
كشفت وايزمان أن ال WhatsApp الويب كان عرضة للخلل-إعادة توجيه مفتوحة يحتمل أن تكون خطرة والتي أدت إلى هجمات البرامج النصية عبر المواقع الثابتة، والتي يمكن أن يتم تحريك عملية السلام عن طريق إرسال رسالة وضعت خصيصا لمستخدمي ال WhatsApp المستهدفة.
كشفت وايزمان أن ال WhatsApp الويب كان عرضة للخلل-إعادة توجيه مفتوحة يحتمل أن تكون خطرة والتي أدت إلى هجمات البرامج النصية عبر المواقع الثابتة، والتي يمكن أن يتم تحريك عملية السلام عن طريق إرسال رسالة وضعت خصيصا لمستخدمي ال WhatsApp المستهدفة.
في حالة عرض ضحية غير مشكوك فيها للرسالة الخبيثة عبر المستعرض ، فقد يكون العيب قد سمح للمهاجمين بتنفيذ تعليمات برمجية عشوائية في سياق نطاق الويب الخاص بـ WhatsApp.
حيث أنه ، عند عرضها من خلال تطبيق سطح المكتب الضعيف ، يتم تشغيل التعليمات البرمجية الضارة على أنظمة المستلمين في سياق التطبيق الضعيف.
علاوة على ذلك ، سمحت سياسة أمان المحتوى التي تم تكوينها بشكل خاطئ على نطاق الويب WhatsApp للباحث بتحميل حمولات XSS من أي طول باستخدام iframe من موقع ويب منفصل يسيطر عليه المهاجمون على الإنترنت.
"إذا تم تكوين قواعد CSP جيدًا ، فستكون القوة المكتسبة بواسطة XSS أصغر بكثير. القدرة على تخطي تكوين CSP تسمح للمهاجم بسرقة معلومات قيمة من الضحية ، وتحميل الحمولات الخارجية بسهولة ، وأكثر من ذلك بكثير ،" وقال الباحث.
كما هو موضح في الصورة أعلاه ، أظهر Weizman هجوم قراءة الملف البعيد عبر WhatsApp من خلال الوصول إلى محتوى ملف المضيفين من كمبيوتر الضحية.
إلى جانب ذلك ، كان من الممكن أيضًا استخدام ثغرة إعادة التوجيه المفتوحة لمعالجة شعارات URL ، ومعاينة النطاق الذي يعرضه WhatsApp على المستلمين عندما يتلقون رسالة تحتوي على روابط ، ويخدعون المستخدمين على الوقوع في هجمات تصيد المعلومات.
أبلغ Weizman بمسؤولية هذه المشكلات إلى فريق أمان Facebook العام الماضي ، الذي قام بعد ذلك بتصحيح العيوب ، وأصدر نسخة محدثة من تطبيق سطح المكتب الخاص به ، كما كافأ Weizman بمبلغ 12500 دولار في إطار برنامج مكافآت الأخطاء للشركة.
هل لديك ما تقوله حول هذه المقالة؟