Một nhóm các nhà nghiên cứu bảo mật quốc tế mới đây đã phát hiện và báo cáo về một lỗ hổng nghiêm trọng tồn tại trong ứng dụng WhatsApp, có thể cho phép những kẻ tấn công tiềm năng truy cập vào hệ thống file cục bộ của người dùng, trên cả 2 nền tảng macOS và Windows.
Cụ thể, đây là một lỗ hổng Cross-Site Scripting (XSS) tồn tại trong quy trình ghép nối giữa ứng dụng WhatsApp cho máy tính để bàn (WhatsApp Desktop) và ứng dụng WhatsApp cho iPhone. Nếu bị khai thác thành công, nó sẽ cho phép hacker truy cập vào hệ thống file cục bộ của thiết bị.
Tất cả các phiên bản WhatsApp Desktop trước v0.3.9309 đều bị ảnh hưởng bởi sự cố này khi thiết lập quy trình ghép nối với các phiên bản WhatsApp cho iPhone từ 2.20.10.về trước.
Lỗ hổng này được theo dõi với định danh CVE-2019-18426, cùng mức độ nghiêm trọng ở mức khá cao (8.2). Điều này là do nó có thể được khai thác từ xa, tuy nhiên CVE-2019-18426 cũng yêu cầu tương tác của người dùng để có thể thành công.
Lỗ hổng được phát hiện bởi nhà nghiên cứu Perimx Gal Weizman khi ông tìm thấy một điểm bất thường trong Content Security Policy (CSP) của WhatsApp, cho phép chèn mã độc thông qua các đoạn script để thực thi chúng ở phía ứng dụng khách - một dạng điển hình của tấn công XSS. Cơ chế tấn công được mô tả khái quát như sau.
Lỗ hổng xuất hiện trên các phiên bản Windows và Mac của ứng dụng, trong quy trình quản lý các biểu ngữ hoặc xem trước liên kết web trong tin nhắn. Mã JavaScript được gắn vào biểu ngữ độc hại có thể vượt qua các cơ chế bảo vệ và truy cập hệ thống file cục bộ của nạn nhân. Theo các nhà nghiên cứu, trái tim của lỗ hổng nằm trong công cụ trình duyệt Chromium thuộc framework ứng dụng Electron. WhatsApp dựa vào framework này để cung cấp giao diện người dùng cho máy khách để bàn của mình. Như vậy hacker có thể xâm nhập thông qua các tin nhắn thông báo xuất hiện hoàn toàn bình thường, khi nạn nhân nhấp vào xem trước liên kết đính kèm từ một tin nhắn được hacker tạo lập.
Hiện vẫn chưa có bất cứ báo cáo nào liên quan đến việc lỗ hổng bị khai thác thành công trong thực tế, đồng thời Facebook cũng đã tung ra bản vá tương ứng. Tuy nhiên người dùng cũng được khuyến cáo nên cập nhật ứng dụng của mình lên phiên bản mới nhất nhằm hạn chế mọi rủi ro tiềm năng.
Nguồn tham khảo: quantrimang.com