Original-URL des Artikels: https://www.golem.de/news/sicherheitsluecke-dateien-auslesen-mit-whatsapp-desktop-2002-146476.html    Veröffentlicht: 06.02.2020 11:56    Kurz-URL: https://glm.io/146476

Sicherheitslücke

Dateien auslesen mit Whatsapp Desktop

Über präparierte Whatsapp-Nachrichten konnte ein Sicherheitsforscher auf lokale Dateien unter Windows und MacOS zugreifen. Der Angriff funktionierte, da Whatsapp Desktop auf einer völlig veralteten Version von Chrome basiert hat - mit weiteren Sicherheitslücken.

Über einen präparierten Link konnte der Sicherheitsforscher Gal Weizman Javascript-Code in den Desktop-Client von Whatsapp einschleusen. Mit diesem konnte der Sicherheitsforscher Dateien auf dem betroffenen Rechner auslesen. Der Angriff war jedoch nur möglich, weil Whatsapp Desktop auf einer veralteten Version von Chrome basierte. Diese enthielt weitere Sicherheitslücken. Mittlerweile hat Facebook die Sicherheitslücke in Whatsapp geschlossen.

Bereits 2017 gelang es Weizman, die Metadaten von Whatsapp-Nachrichten zu bearbeiten, um gefälschte Vorschaubilder von Webseiten anzuzeigen. An diese knüpfte der Sicherheitsforscher an, indem er Links mit Javascript-Code in Whatsapp-Nachrichten injizierte. Über eine Cross-Site-Scripting-Lücke konnte der Sicherheitsforscher anschließend per Javascript auf die lokalen Dateien zugreifen. Das funktionierte sowohl unter Windows als auch unter MacOS.

Whatsapp-Client setzte auf veraltete Chrome-Version

Der Trick funktioniert, da es sich bei dem Desktop-Client von Whatsapp um eine Art Chrome-Browser handelt. Wie Teams oder Skype basiert der Desktop-Client von Whatsapp auf dem Electron-Framework, welches wiederum auf Chromium aufbaut. Entsprechend finden sich die meisten Sicherheitsfunktionen, aber auch Sicherheitslücken von Chrome auch in Electron und damit im Desktop-Client von Whatsapp wieder.

Allerdings wurde die Cross-Site-Scripting-Lücke im Chrome-Browser bereits vor längerer Zeit gefixt. Im Desktop-Client von Whatsapp ließ sie sich dennoch ausnutzen, da dieser noch auf Chrome 69 basierte - als Weizman die Lücke entdeckte, war jedoch Chrome 78 aktuell. Zwischen den beiden Versionen liegt rund ein Jahr. Whatsapp hatte in dieser Zeit versäumt, das Electron-Framework in seinem Desktop-Client zu aktualisieren.

In der veralteten Version von Electron beziehungsweise Chrome finden sich etliche weitere Sicherheitslücken, darunter laut Weizman mindestens fünf verschiedene Sicherheitslücken, mit denen eine Remote-Code-Execution (RCE) möglich ist.

Ab Version v0.3.9309 des Desktop-Clients hat Facebook die Sicherheitslücke behoben. Laut einem Sicherheitshinweis von Facebook war die Lücke nur aufgetreten, wenn ein Desktop-Client mit Whatsapp auf einem iPhone verbunden wurde.

Sicherheitslücken in Whatsapp

Der Trojaner-Hersteller NSO soll 1.400 Whatsapp-Nutzer über eine Sicherheitslücke in dem beliebten Messenger gehackt haben, darunter Journalisten, Menschenrechtsaktivisten und Regierungsbeamte. Facebook hatte daraufhin Klage gegen den Trojaner-Hersteller eingereicht. Auch das Smartphone von Amazon-Chef Jeff Bezos soll über eine Sicherheitslücke in Whatsapp gehackt worden sein.

 (mtr)


Verwandte Artikel:
Aufklärung gefordert: Setzten deutsche Behörden die Spionagesoftware Pegasus ein?   
(13.11.2019, https://glm.io/144952 )
Quartalsbericht: Facebook kämpft mit wachsenden Ausgaben   
(29.01.2020, https://glm.io/146350 )
Android-Messenger: Signal-Sicherheitslücke erlaubt Belauschen von Nutzern   
(05.10.2019, https://glm.io/144269 )
Per Whatsapp-Video: Saudischer Kronprinz soll Bezos gehackt haben   
(22.01.2020, https://glm.io/146201 )
Europäische Netzpolitik: Die Rückkehr des Axel Voss   
(09.01.2020, https://glm.io/145953 )

© 1997–2020 Golem.de, https://www.golem.de/