Whatsapp: Sicherheitslücke in Desktop-Version erlaubte Dateizugriff

Facebook hat soeben eine schwerwiegende Sicherheitslücke bei der Desktop-Version von Whatsapp geschlossen, die unbefugten Dateizugriff ermöglichte.

Das Wichtigste in Kürze

Bei Whatsapp wurde kürzlich eine schwere Sicherheitslücke geschlossen.
Spezifische Versionen der Desktop- und iOS-App erlaubten unbefugten Dateizugriff.

Facebook hat kürzlich eine Sicherheitslücke beim Whatsapp Messenger geschlossen. Betroffen war eine bestimmte Version der iOS-App sowie der Desktop-Client. Beide haben inzwischen ein Update erhalten, wie der entsprechende Sicherheitshinweis preisgibt.

Die Lücke ermöglichte es Angreifern, via Cross-Site-Scripting lokal gespeicherte Dateien auf dem verwendeten PC oder Mac auszulesen. Auch konnte man als Angreifer Code vom betroffenen Gerät ausführen lassen – sogenannte «Remote Code Execution» (RCE). Das vom Sicherheitsproblem ausgehende Risiko gilt als hoch, sofern man noch kein Update vollzogen hat.

Nutzen Sie Whatsapp auch am Computer?

Whatsapp Web war von der Sicherheitslücke nicht betroffen, lediglich der Desktop-Client. Ein Update auf die Version 0.3.9309 schliesst dort die Lücke.

Eine Nachricht genügte

Die Desktop-Version musste zur Ausnutzung der Lücke mit der entsprechenden iPhone-App gekoppelt sein. Dazu hätte das potenzielle Opfer auf einen Link in einer speziell präparierten Nachricht drücken müssen.

Gal Weizmann war der Finder der Sicherheitslücke und ist Javascript-Experte bei «PerimeterX». Mit seiner Arbeit zur Entdeckung des Problems wollte er Facebook auf eines aufmerksam machen: «Es ist das Jahr 2020. Kein Produkt sollte ein vollständiges Lesen aus dem Dateisystem und möglicherweise RCE aus einer einzigen Nachricht erlauben.»