Las fallas en la aplicación de escritorio de WhatsApp permitieron el acceso remoto a los archivos

Facebook ha emitido un aviso de seguridad por una falla en WhatsApp Desktop que podría permitir a un atacante usar secuencias de comandos entre sitios y leer los archivos en MacOS o PC con Windows mediante un mensaje de texto especialmente diseñado. El atacante podría recuperar el contenido de los archivos en la computadora al otro lado de un mensaje de texto de WhatsApp y potencialmente hacer otras cosas ilícitas.

La falla, descubierta por el investigador Gal Weizman en PerimeterX, es el resultado de una debilidad en la forma en que se implementó el escritorio de WhatsApp utilizando el marco de software Electron, que ha tenido importantes problemas de seguridad en el pasado. Electron permite a los desarrolladores crear aplicaciones multiplataforma basadas en tecnologías web y de navegador, pero solo es tan seguro como los componentes que los desarrolladores implementan con sus aplicaciones Electron.

Weizman descubrió por primera vez vulnerabilidades de secuencias de comandos entre sitios en WhatsApp en 2023, cuando descubrió que podía alterar los metadatos de los mensajes, crear pancartas de vista previa falsas para enlaces web y crear direcciones URL que podían ocultar intenciones hostiles en los mensajes de WhatsApp. Pero a medida que continuaba con sus exploraciones en el cliente de WhatsApp, descubrió que podía inyectar código JavaScript en los mensajes que se ejecutarían en el escritorio de WhatsApp y luego obtener acceso al sistema de archivos local utilizando la API JavaScript Fetch.

Todo esto fue posible porque las versiones vulnerables de WhatsApp Desktop se habían desarrollado utilizando una versión vulnerable conocida y desactualizada del motor del navegador Chrome de Google: Chrome 69. Las versiones más recientes del motor Chromium detectarían el código malicioso.

Según Facebook, la vulnerabilidad afecta a las versiones de escritorio de WhatsApp 0.3.9309 y anteriores, para los usuarios que emparejaron la aplicación de escritorio con las versiones de WhatsApp para iPhone anteriores a la 2.20.10. Facebook ha enviado nuevas versiones de WhatsApp Desktop que utilizan componentes de navegador actualizados.