MacでWhatsAppをご利用の場合は、デスクトップアプリが最新バージョン（0.4.316）にアップデートされていることを確認してください。これにより、非常に厄介なセキュリティホールが解消されます。

この脆弱性は、セキュリティ研究者のGal Weizman氏によって発見されました。これは、返信時に元のテキストが偽装される可能性があるという以前の問題に基づいていました…

脅威の攻撃者は、グループ会話の「引用」機能を使用して、送信者の身元（その人がグループのメンバーでなくても）を変更したり、他の人の返信のテキストを変更したりして、事実上、その人の言葉を代弁する可能性があります。

この問題の修正方法は今のところ見つかっていないため、ワイツマン氏は考えを巡らせました。テキストをいじれるなら、リンクも同じようにしてしまえばいいのでは？

実際のエクスプロイトはかなり複雑ですが、要するに、WhatsApp メッセージ内の一見無害なリンクがユーザーを目に見えない形で悪意のある Web サイトにリダイレクトし、JavaScript コードを実行してコードを実行する可能性があるということです。

その後、その悪意のあるコードを使って、Windows PC または Mac からファイルを読み取ることができました。

こうしたタイプのアプリケーションはElectronを使って書かれています。Electronは、標準的なウェブ機能を使って「ネイティブ」なアプリケーションを作成できる優れたプラットフォームです。多くの大企業にとって、ウェブアプリケーションとネイティブデスクトップアプリケーションの両方を1つのソースコードで作成できるため、非常に便利です。Electronは、そのベースとなるプラットフォームであるChromiumとともに、常にアップデートされています。

つまり、これは結局のところ Chromium のバリアントなので、XSS が機能するということです! […]

そうです、Chrome/69です。WhatsAppが提供するWhatsAppデスクトップアプリケーションの最新バージョンはChrome/69ベースです。この脆弱性はChrome/78が安定版だった時に発見されました！Chrome/78の数バージョン前に、javascript:トリックを使用する機能は修正されました。もしWhatsAppがElectronウェブアプリケーションを4.1.4から、この脆弱性が発見された当時最新の7.xxにアップデートしていれば（！）、このXSSは存在しなかったでしょう！

さらに悪いことに、Chromium 69 は比較的古いため、1 日で発生する RCE を悪用される可能性があります。Chromium 69 以降には 5 種類以上の 1 日で発生する RCE が存在し、公開されているものを見つけて、先ほど発見された持続的な XSS を経由させるだけで、あっという間にリモートコード実行が可能になります。[…]

これは WhatsApp Windows デスクトップ/Mac デスクトップで機能します。

本日、Philips Hueの脆弱性についてご報告しました。この脆弱性により、攻撃者は電球を制御できるだけでなく、ネットワーク全体へのアクセスも可能になる可能性があります。この件の教訓は、アプリとデバイスを常に最新の状態にしておくことです。

ranphe.com を Google ニュース フィードに追加します。