Bug WhatsApp Ini Bisa Memungkinkan Penyerang Mengakses File Di PC Anda

Seorang peneliti cybersecurity hari ini mengungkapkan rincian teknis dari beberapa kerentanan tingkat keparahan tinggi yang ia temukan di WhatsApp, yang, jika dieksploitasi, dapat memungkinkan penyerang dari jarak jauh membahayakan keamanan miliaran pengguna dengan berbagai cara.

Ketika digabungkan bersama, masalah yang dilaporkan bahkan bisa memungkinkan peretas untuk mencuri file dari jarak jauh Windows atau komputer Mac korban menggunakan aplikasi desktop WhatsApp dengan hanya mengirim pesan yang dibuat secara khusus.

Ditemukan oleh peneliti PerimeterX Gal Weizman dan dilacak sebagai CVE-2019-18426, kelemahannya secara khusus berada di WhatsApp Web, versi browser dari aplikasi perpesanan paling populer di dunia yang juga memberi daya pada aplikasi lintas platform berbasis-Elektron untuk sistem operasi desktop.

Dalam sebuah posting blog yang diterbitkan hari ini, Weizman mengungkapkan bahwa WhatsApp Web rentan terhadap kesalahan pengalihan terbuka yang berpotensi berbahaya yang menyebabkan serangan skrip lintas situs yang persisten, yang bisa dipicu dengan mengirimkan pesan yang dibuat secara khusus kepada pengguna WhatsApp yang ditargetkan.

Dalam kasus ketika seorang korban yang tidak menaruh curiga melihat pesan jahat melalui browser, cacat itu bisa memungkinkan penyerang untuk mengeksekusi kode sewenang-wenang dalam konteks domain web WhatsApp.

Sedangkan, ketika dilihat melalui aplikasi desktop yang rentan, kode berbahaya dijalankan pada sistem penerima dalam konteks aplikasi yang rentan.

Selain itu, kebijakan keamanan konten yang tidak terkonfigurasi pada domain web WhatsApp juga memungkinkan peneliti memuat muatan XSS berapa pun panjangnya menggunakan iframe dari situs web yang dikendalikan penyerang terpisah di Internet.

"Jika aturan CSP dikonfigurasikan dengan baik, daya yang diperoleh XSS ini akan jauh lebih kecil. Mampu memintas konfigurasi CSP memungkinkan penyerang mencuri informasi berharga dari korban, memuat muatan eksternal dengan mudah, dan banyak lagi," kata peneliti.

Seperti yang ditunjukkan pada tangkapan layar di atas, Weizman mendemonstrasikan serangan membaca file jarak jauh melalui WhatsApp dengan mengakses konten file host dari komputer korban.

Selain itu, kesalahan redirect-terbuka bisa juga digunakan untuk memanipulasi spanduk URL, pratinjau domain yang ditampilkan WhatsApp kepada penerima ketika mereka menerima pesan yang berisi tautan, dan mengelabui pengguna agar tidak jatuh karena serangan phishing.

Weizman secara bertanggung jawab melaporkan masalah ini kepada Facebook tim keamanan tahun lalu, yang kemudian memperbaiki kekurangannya, merilis versi terbaru dari aplikasi desktopnya, dan juga memberi hadiah kepada Weizman dengan $ 12.500 di bawah program bug bounty perusahaan.