|
WhatsApp for Windows 最新版本中存在一个安全问题，准许发送 Python 和 PHP 附件，当收件人打开这些附件时，这些附件会在无任何警告的状况下执行。要成功攻击，需要安装 Python，这一先决要求可能会将目的限制在软件研发人员、科研人员和高级用户。
该问题与 4 月份影响 Windows 版 Telegram 的问题类似，该问题最初被拒绝但后来得到修复，攻击者能够在经过信息传递客户端发送 Python .pyzw 文件时绕过安全警告并执行远程代码执行。
WhatsApp 屏蔽了多种被认为对用户有危害的文件类型，但该机构不打算将 Python 脚本添加到列表中且PHP 文件 (.php) 亦不包括在 WhatsApp 的阻止列表中。
Python、PHP 脚本未被阻止
安全科研员 Saumyajeet Das 在实验能够附加到 WhatsApp 对话中的文件类型时发掘了此漏洞，以查看该应用程序是不是准许任何有危害的文件。当发送潜在危险的文件（例如 .EXE）时，WhatsApp 会表示该文件并为收件人供给两个选项：打开或另存为。
WhatsApp 的可执行文件选项
然则，当尝试打开文件时，WhatsApp for Windows 会生成错误，用户只能选取将文件保留到磁盘并从那里起步它。在测试中，运用 WhatsApp for Windows 客户端时，此行径与 .EXE、.COM、.SCR、.BAT 和 Perl 文件类型一致。Das 发掘 WhatsApp 还会阻止 .DLL、.HTA 和 VBS 的执行。
针对所有这些程序，当尝试经过单击“打开”直接从应用程序起步它们时，都会出现错误，仅有先保留到磁盘后才可执行它们。
从 WhatsApp 客户端起步 .EXE 失败
Das 在接受采访时暗示，他发掘 WhatsApp 客户端不会阻止三种文件类型起步：.PYZ（Python ZIP 应用程序）、.PYZW（PyInstaller 程序）和 .EVTX（Windows 事件日志文件）。
测试证实，WhatsApp 不会阻止 Python 文件的执行，并发掘 PHP 脚本亦会出现一样的状况。
倘若所有资源都存在，接收者只需单击接收文件上的“打开”按钮，脚本就会执行。
Das 于 6 月 3 日向 Meta 报告了该问题，该机构于 7 月 15 日回复叫作，另一位科研人员已然报告了该问题。日前。该漏洞仍然存在于适用于 Windows 的最新 WhatsApp 版本中，咱们能够在 Windows 11 v2.2428.10.0 上对此多加重视。
关联媒介企图联系 WhatsApp，以澄清驳回科研人员报告的原由，一位发言人解释说，她们不认为这是她们的问题，因此呢无修复计划。
该机构表率解释说，WhatsApp 有一个系统，当用户收到不在其联系人列表中的用户或tel号码在其他国家/地区注册的用户发送的信息时，会发出警告。然而，倘若用户的帐户被劫持，攻击者能够向联系人列表中的每一个人发送恶意脚本，这些脚本更易直接从信息应用程序中执行。
另外，这些类型的附件可能会发布到公共和私人聊天组中，威胁者可能会乱用这些聊天组来传播恶意文件。在回复 WhatsApp 拒绝该报告时，Das 对该项目处理这种状况的方式暗示失望。
其实只需将 .pyz 和 .pyzw 扩展名添加到阻止列表中，Meta 便能够阻止经过这些 Pythonic zip 文件进行的潜在攻击。经过处理该问题，WhatsApp 不仅能够加强其用户的安全性，还能够显示她们致力于快速处理安全问题的良好态度。
相关媒介联系了 WhatsApp，提醒她们 PHP 扩展亦无被阻止，但日前尚未收到其回复。
| 
发表于 2024-10-4 12:44:19