ثغرة الواتس اب مرة اخرى تسمح للولوج الى ملفاتك على أجهزة الكمبيوتر

السماح للمهاجمين بالوصول إلى الملفات على أجهزة الكمبيوتر الخاصة بك


كشف باحث في الأمن السيبراني اليوم عن التفاصيل الفنية الخاصة بأوجه الضعف المتعددة الشديدة التي اكتشفها في WhatsApp ، والتي ، إذا تم استغلالها ، قد سمحت للمهاجمين عن بعد بخرق أمن مليارات المستخدمين بطرق مختلفة.

ثغرة الواتس اب مرة اخرى تسمح للولوج الى ملفاتك على أجهزة الكمبيوتر



عند الجمع معًا ، يمكن أن تكون المشكلات التي تم الإبلاغ عنها قد
مكّنت المتسللين من سرقة الملفات عن بعد من جهاز كمبيوتر يعمل بنظام Windows أو Mac لأحد الضحايا باستخدام تطبيق WhatsApp لسطح المكتب من خلال إرسال رسالة مصممة خصيصًا.

اكتشف الباحث الباحث في PerimeterX Gal Weizman وتتبعه كـ CVE-2019-18426 ، وكانت العيوب تكمن على وجه التحديد في WhatsApp Web ، وهو إصدار مستعرض من تطبيق المراسلة الأكثر شيوعًا في العالم الذي يشغل أيضًا تطبيقاتها عبر الأنظمة الإلكترونية المستندة إلى الإلكترون لأنظمة تشغيل سطح المكتب.

في منشور نشرته اليوم ، كشف فايتسمان عن أن WhatsApp Web كان عرضة لخطر يحتمل أن يكون خطيرًا في إعادة التوجيه المفتوح والذي أدى إلى استمرار هجمات البرمجة النصية عبر المواقع ، والتي كان من الممكن أن تحدث عن طريق إرسال رسالة مصممة خصيصًا لمستخدمي WhatsApp المستهدفين.
 

ثغرة الواتس اب مرة اخرى تسمح للولوج الى ملفاتك على أجهزة الكمبيوتر



في حالة عرض ضحية غير مشكوك فيها للرسالة الخبيثة عبر المستعرض ، فقد يكون العيب قد سمح للمهاجمين بتنفيذ تعليمات برمجية عشوائية في سياق نطاق الويب الخاص بـ WhatsApp.

حيث أنه ، عند عرضها من خلال تطبيق سطح المكتب الضعيف ، يتم تشغيل التعليمات البرمجية الضارة على أنظمة المستلمين في سياق التطبيق الضعيف.

علاوة على ذلك ، سمحت سياسة أمان المحتوى التي تم تكوينها بشكل خاطئ على نطاق الويب WhatsApp للباحث بتحميل حمولات XSS من أي طول باستخدام iframe من موقع ويب منفصل يسيطر عليه المهاجمون على الإنترنت.

"إذا تم تكوين قواعد CSP جيدًا ، فستكون القوة المكتسبة بواسطة XSS أصغر بكثير. القدرة على تخطي تكوين CSP تسمح للمهاجم بسرقة معلومات قيمة من الضحية ، وتحميل الحمولات الخارجية بسهولة ، وأكثر من ذلك بكثير" .

ثغرة الواتس اب مرة اخرى تسمح للولوج الى ملفاتك على أجهزة الكمبيوتر



كما هو موضح في الصورة أعلاه ، أظهر Weizman هجوم قراءة الملف البعيد عبر WhatsApp من خلال الوصول إلى محتوى ملف المضيفين من كمبيوتر الضحية.

إلى جانب ذلك ، كان من الممكن أيضًا استخدام ثغرة إعادة التوجيه المفتوحة لمعالجة شعارات URL ، ومعاينة النطاق الذي يعرضه WhatsApp على المستلمين عندما يتلقون رسالة تحتوي على روابط ، ويخدعون المستخدمين على الوقوع في هجمات تصيد المعلومات.

أبلغ Weizman بمسؤولية هذه المشكلات إلى فريق أمان Facebook العام الماضي ، الذي قام بعد ذلك بتصحيح العيوب ،
patched the flaws, وأصدر نسخة محدثة من تطبيق سطح المكتب الخاص به ، كما كافأ Weizman بمبلغ 12500 دولار في إطار برنامج مكافآت الأخطاء للشركة. 
شارك الموضوع
تعليقات