WhatsApp for Windows 最新版本中存在一个安全问题,准许发送 Python 和 PHP 附件,当收件人打开这些附件时,这些附件会在无任何警告的状况下执行。要成功攻击,需要安装 Python,这一先决要求可能会将目的限制在软件研发人员、科研人员和高级用户。
该问题与 4 月份影响 Windows 版 Telegram 的问题类似,该问题最初被拒绝但后来得到修复,攻击者能够在经过信息传递客户端发送 Python .pyzw 文件时绕过安全警告并执行远程代码执行。
WhatsApp 屏蔽了多种被认为对用户有危害的文件类型,但该机构不打算将 Python 脚本添加到列表中且PHP 文件 (.php) 亦不包括在 WhatsApp 的阻止列表中。
Python、PHP 脚本未被阻止
安全科研员 Saumyajeet Das 在实验能够附加到 WhatsApp 对话中的文件类型时发掘了此漏洞,以查看该应用程序是不是准许任何有危害的文件。当发送潜在危险的文件(例如 .EXE)时,WhatsApp 会表示该文件并为收件人供给两个选项:打开或另存为。
WhatsApp 的可执行文件选项
然则,当尝试打开文件时,WhatsApp for Windows 会生成错误,用户只能选取将文件保留到磁盘并从那里起步它。在测试中,运用 WhatsApp for Windows 客户端时,此行径与 .EXE、.COM、.SCR、.BAT 和 Perl 文件类型一致。Das 发掘 WhatsApp 还会阻止 .DLL、.HTA 和 VBS 的执行。
针对所有这些程序,当尝试经过单击“打开”直接从应用程序起步它们时,都会出现错误,仅有先保留到磁盘后才可执行它们。
从 WhatsApp 客户端起步 .EXE 失败
Das 在接受采访时暗示,他发掘 WhatsApp 客户端不会阻止三种文件类型起步:.PYZ(Python ZIP 应用程序)、.PYZW(PyInstaller 程序)和 .EVTX(Windows 事件日志文件)。
测试证实,WhatsApp 不会阻止 Python 文件的执行,并发掘 PHP 脚本亦会出现一样的状况。
倘若所有资源都存在,接收者只需单击接收文件上的“打开”按钮,脚本就会执行。
Das 于 6 月 3 日向 Meta 报告了该问题,该机构于 7 月 15 日回复叫作,另一位科研人员已然报告了该问题。日前。该漏洞仍然存在于适用于 Windows 的最新 WhatsApp 版本中,咱们能够在 Windows 11 v2.2428.10.0 上对此多加重视。
关联媒介企图联系 WhatsApp,以澄清驳回科研人员报告的原由,一位发言人解释说,她们不认为这是她们的问题,因此呢无修复计划。
该机构表率解释说,WhatsApp 有一个系统,当用户收到不在其联系人列表中的用户或tel号码在其他国家/地区注册的用户发送的信息时,会发出警告。然而,倘若用户的帐户被劫持,攻击者能够向联系人列表中的每一个人发送恶意脚本,这些脚本更易直接从信息应用程序中执行。
另外,这些类型的附件可能会发布到公共和私人聊天组中,威胁者可能会乱用这些聊天组来传播恶意文件。在回复 WhatsApp 拒绝该报告时,Das 对该项目处理这种状况的方式暗示失望。
其实只需将 .pyz 和 .pyzw 扩展名添加到阻止列表中,Meta 便能够阻止经过这些 Pythonic zip 文件进行的潜在攻击。经过处理该问题,WhatsApp 不仅能够加强其用户的安全性,还能够显示她们致力于快速处理安全问题的良好态度。
相关媒介联系了 WhatsApp,提醒她们 PHP 扩展亦无被阻止,但日前尚未收到其回复。
|