Une vulnérabilité de WhatsApp corrigée aurait pu exposer les données des utilisateurs

Les chercheurs en sécurité de Check Point ont récemment publié des informations sur une vulnérabilité qui existait dans WhatsApp et qui aurait pu être exploitée pour accéder illégalement aux informations sensibles des utilisateurs. Le problème a depuis été corrigé par WhatsApp et n'affecte pas les versions actuelles de l'application, mais Check Point vient de publier son rapport complet à ce sujet.

Le problème en question est codifié sous le nom CVE-2020-1910 et s'est vu attribuer un score de base élevé de 7,8. Il est décrit par les chercheurs de Check Point comme un bogue de lecture-écriture hors limites. Le rapport fournit plus de détails sur la manière exacte dont la vulnérabilité aurait pu être exploitée.

Le bogue tourne autour de l'utilisation des outils de filtrage d'image WhatsApp. Bien que les étapes et les circonstances entourant la vulnérabilité exploitable soient un peu alambiquées, elles pourraient être facilement reproduites lors des tests.

Si un utilisateur ouvrait une image de pièce jointe envoyée par un mauvais acteur, contenant un fichier qui a été falsifié de manière malveillante, par exemple un gif malformé, puis appliquait l'un des filtres d'image de l'application et renvoyait finalement l'image, cela pourrait conduire à l'exposition des données.

L'application ne vérifie pas le format lorsque vous travaillez avec des images d'origine et de destination et peut être amenée à planter en utilisant des fichiers image mal formés.

Le problème a été signalé par Check Point dès novembre 2020 et a depuis longtemps été corrigé par WhatsApp qui l'a mentionné dans l'avis de sécurité de l'entreprise publié début 2021.

Cette vulnérabilité met en évidence l'importance de garder chaque application que vous conservez sur n'importe quel appareil que vous possédez à jour vers sa dernière version. Lorsqu'une application est aussi populaire que WhatsApp, avec ses milliards d'utilisateurs dans le monde, le potentiel pour les criminels d'abuser de problèmes similaires et de vulnérabilités zero-day et de récolter d'immenses quantités de données, même à partir d'une infime fraction de la base d'utilisateurs de l'application est considérable.

La vulnérabilité CVE-2020-1910 a été corrigée dans WhatsApp à partir de la version 2.21.2.13 et plus.