menu

WhatsApp-Sicherheitslücke: Unbefugter Zugriff auf Daten

Nutzer der Desktop-Version von WhatsApp sollten unbedingt ein Update durchführen.
Nutzer der Desktop-Version von WhatsApp sollten unbedingt ein Update durchführen. Bild: © REUTERS / DADO RUVIC - stock.adobe.com 2019

Ein Sicherheitsforscher hat im Desktop-Client von WhatsApp eine schwerwiegende Sicherheitslücke entdeckt. Er konnte diese sogar so weit ausnutzen, dass es ihm später möglich war, Dateien auf fremden Rechnern auszulesen. Facebook hat die Sicherheitslücke mittlerweile geschlossen.

Entdeckt wurde die schwerwiegende Lücke vom Sicherheitsforscher Gal Weizman. Auf dem Tech-Blog Perimeter X veröffentlichte er eine Dokumentation des Hacks und erklärte die verschiedenen Stufen. Ausgangspunkt war eine Sicherheitslücke, die es ihm erlaubte, Nachrichten einer Person nachträglich im Desktop-Client  von WhatsApp (nicht zu verwechseln mit dem Web-Client) zu ändern. Das klingt zunächst harmlos, durch den Einsatz verschiedener Techniken gelang es ihm aber, mit dieser Sicherheitslücke sogar Zugriff auf Dateien auf fremden Rechnern zu bekommen.

So funktioniert der Hack

Weizman überlegte zunächst, ob er irgendwie über eine Codezeile an das Objekt kommen kann, in dem die Metadaten einer Nachricht gespeichert sind. Er konnte diese finden und es war ein Leichtes für ihn, den Inhalt einer Nachricht nach Belieben zu manipulieren. Als nächstes nahm er sich dann einen speziellen Nachrichtentyp vor, Nachrichten mit Preview-Bannern. Schickt man beispielsweise einen Facebook-Link, generiert WhatsApp einen Banner, der unter anderem das Logo der Webseite zeigt.

Mit seinem vorherigen Trick gelang es ihm, einen Redirect auf eine von ihm eingetragene URL in authentische Banner zu bauen, was schon sehr gefährlich ist. Denn wer schaut beim Klicken schon auf die angezeigte URL, wenn er einen offiziellen Banner sieht? Weizman trieb die Sache aber weiter und es gelang ihm, Javascript auszuführen, was ihm Cross Site Scripting (XSS) ermöglichte. So konnte Weizman eigenen Code ausführen.

Im nächsten Schritt konnte er die WhatsApps Content Security Policy (CSP) umgehen. Und durch einen Exploit in Chromium öffnete er am Ende sogar Dateien auf dem PC von WhatsApp-Nutzern – zwar nur mit Lesezugriff, aber auch das ist schon gefährlich genug.

Sicherheitslücke mittlerweile geschlossen

Facebook hat die Sicherheitslücke bereits Ende Januar geschlossen. Nutzer älterer Desktop-Versionen von WhatsApp sollten diese unbedingt updaten. Um sich grundsätzlich vor solchen Angriffen zu schützen, ist es ratsam, über Nachrichten erhaltene Links immer genau unter die Lupe zu nehmen, selbst solche mit authentischen Bannern. Im Zweifelsfall sollten die Links nicht geöffnet werden.

Kommentar schreiben
Relevante Themen:

Neueste Artikel zum Thema WhatsApp

close
Bitte Suchbegriff eingeben