Neue WhatsApp Bugs könnten Angreifer Ihr Telefon aus der Ferne hacken lassen

Cyber Security News

Das zu Facebook gehörende WhatsApp hat kürzlich zwei Sicherheitslücken in seiner Messaging-App für Android geschlossen, die ausgenutzt werden konnten, um bösartigen Code aus der Ferne auf dem Gerät auszuführen und sogar verschlüsselte Kommunikation zu kompromittieren.

Die Schwachstellen zielen auf Geräte mit Android-Versionen bis einschließlich Android 9 ab, indem sie einen so genannten “Man-in-the-Disk”-Angriff durchführen, der es Angreifern ermöglicht, eine App zu kompromittieren, indem sie bestimmte Daten manipulieren, die zwischen ihr und dem externen Speicher ausgetauscht werden.

“Die beiden genannten WhatsApp-Schwachstellen hätten es Angreifern ermöglicht, TLS-Kryptomaterial für TLS 1.3- und TLS 1.2-Sitzungen aus der Ferne zu sammeln”, sagten Forscher von Census Labs heute.

“Mit den TLS-Geheimnissen in der Hand demonstrieren wir, wie ein Man-in-the-Middle (MitM)-Angriff zur Kompromittierung der WhatsApp-Kommunikation, zur Remote-Code-Ausführung auf dem Opfergerät und zur Extraktion von Noise-Protokollschlüsseln führen kann, die für die Ende-zu-Ende-Verschlüsselung in der Benutzerkommunikation verwendet werden.”

[Blocked Image: https://thehackernews.com/images/-bvTgvb1scMU/YGXEzvWWDTI/AAAAAAAA3uU/FkCk24WAH8gQPV-lbOs4cDw_tp2ug151QCLcBGAsYHQ/s728-e100/thn-728-1.png]

Die Schwachstelle (CVE-2021-24027) nutzt insbesondere die Unterstützung von Chrome für Inhaltsanbieter in Android (über das URL-Schema “content://”) und eine Umgehung der Same-Origin-Policy im Browser (CVE-2020-6516) aus, wodurch ein Angreifer eine speziell gestaltete HTML-Datei über WhatsApp an ein Opfer senden kann, die, wenn sie im Browser geöffnet wird, den in der HTML-Datei enthaltenen Code ausführt.

Schlimmer noch, der bösartige Code kann verwendet werden, um auf jede Ressource zuzugreifen, die im ungeschützten externen Speicherbereich gespeichert ist, einschließlich der von WhatsApp, bei dem festgestellt wurde, dass es u. a. TLS-Sitzungsschlüsseldetails in einem Unterverzeichnis speichert und somit sensible Informationen für jede App preisgibt, die zum Lesen oder Schreiben vom externen Speicher vorgesehen ist.

“Alles, was ein Angreifer tun muss, ist, das Opfer zum Öffnen eines HTML-Dokument-Anhangs zu verleiten”, so Census Labs-Forscher Chariton Karamitas. “WhatsApp rendert diesen Anhang in Chrome über einen Content-Provider, und der Javascript-Code des Angreifers ist in der Lage, die gespeicherten TLS-Sitzungsschlüssel zu stehlen.”

Mit den Schlüsseln bewaffnet kann ein böser Akteur dann einen Man-in-the-Middle-Angriff inszenieren, um eine Remote-Code-Ausführung zu erreichen oder sogar die von der App zu Diagnosezwecken gesammelten Schlüsselpaare des Noise-Protokolls (die für die Ende-zu-Ende-Verschlüsselung verwendet werden) zu exfiltrieren, indem er auf dem Gerät des Opfers absichtlich einen Out-of-Memory-Fehler aus der Ferne auslöst.

[Blocked Image: https://thehackernews.com/images/-P7kvKFVSqWU/YGXEz3gk_tI/AAAAAAAA3uY/qiCyRaK_IA07iGtzVQCOTsnjHTYGR_gKgCLcBGAsYHQ/s728-e100/thn-728-2.png]

Wenn dieser Fehler auftritt, schaltet sich der Debugging-Mechanismus von WhatsApp ein und lädt die verschlüsselten Schlüsselpaare zusammen mit den Anwendungsprotokollen, Systeminformationen und anderen Speicherinhalten auf einen speziellen Server für Absturzprotokolle (“crashlogs.whatsapp.net”) hoch. Es ist jedoch erwähnenswert, dass dies nur auf Geräten geschieht, auf denen eine neue Version der App läuft und “weniger als 10 Tage seit dem Veröffentlichungsdatum der aktuellen Version verstrichen sind”.

Um solche Angriffe abzuwehren, hat Google in Android 10 eine Funktion namens “scoped storage” eingeführt, die jeder App einen isolierten Speicherbereich auf dem Gerät zuweist, so dass keine andere App, die auf demselben Gerät installiert ist, direkt auf die von anderen Apps gespeicherten Daten zugreifen kann.

Die Cybersecurity-Firma sagte, sie habe keine Kenntnis darüber, ob die Angriffe in freier Wildbahn ausgenutzt wurden, obwohl in der Vergangenheit Fehler in WhatsApp missbraucht wurden, um Spyware auf Zielgeräte zu injizieren und Journalisten und Menschenrechtsaktivisten auszuspionieren.

WhatsApp-Nutzern wird empfohlen, auf die Version 2.21.4.18 zu aktualisieren, um das mit den Schwachstellen verbundene Risiko zu mindern. Wir haben das Unternehmen um eine Stellungnahme gebeten und werden den Artikel aktualisieren, wenn wir eine Antwort erhalten.

“Es gibt viele weitere Subsysteme in WhatsApp, die für einen Angreifer von großem Interesse sein könnten”, sagte Karamitas. “Die Kommunikation mit vorgelagerten Servern und die E2E-Verschlüsselungsimplementierung sind zwei bemerkenswerte davon. Obwohl sich diese Arbeit auf WhatsApp konzentrierte, könnten auch andere beliebte Android-Messaging-Anwendungen (z. B. Viber, Facebook Messenger) oder sogar mobile Spiele ungewollt eine ähnliche Angriffsfläche für Angreifer bieten.”

Fanden Sie diesen Artikel interessant? Folgen Sie THN auf Facebook, Twitter und LinkedIn, um weitere exklusive Inhalte zu lesen, die wir veröffentlichen.

Einige Teile dieses Artikels stammen aus:
thehackernews.com