3
Los investigadores dijeron que graves problemas de seguridad amenazan la privacidad de los usuarios de WhatsApp. La vulnerabilidad generalmente afecta la función “ver una vez” de WhatsApp, lo que permite a los atacantes acceder permanentemente a medios específicos sin el conocimiento de otros usuarios.
Una vulnerabilidad en la función 'Ver una vez' permite el acceso permanente a los medios de WhatsApp
Los investigadores de seguridad de Zengo han descubierto un problema de seguridad crítico que afecta a WhatsApp. Este problema permitió a los atacantes eludir la función de privacidad “ver una vez” de la aplicación. Como se explica en la publicación, Be'ery y su equipo descubrieron una manera de acceder al contenido multimedia compartido en WhatsApp con una restricción de “ver una vez”.
Según Meta, 'Ver una vez' es la función para compartir medios centrada en la privacidad de WhatsApp que permite a los destinatarios ver y acceder a los medios compartidos solo una vez. Dichos medios (mensajes de audio, vídeos, fotos) desaparecen automáticamente del chat cuando el destinatario los abre, sin dejar rastro. Los destinatarios no pueden descargar dichos medios en sus dispositivos ni realizar capturas de pantalla.
Si bien este enfoque suena impresionante, los investigadores eludieron las características de privacidad para demostrar lo contrario.
Específicamente, el problema se debió a la forma en que los servidores de WhatsApp manejan los medios de “ver una vez”. Los investigadores notaron que los servidores de WhatsApp marcaban los mensajes como “ver una vez” y los compartían en todos los dispositivos, incluidos los dispositivos que no admitían mensajes “ver una vez”. Por lo tanto, un atacante puede solucionar este problema cambiando “viewOnce: true” a “false”. Una vez modificados, los atacantes pueden ver y descargar fácilmente los mensajes en cualquier dispositivo, como los mensajes normales de WhatsApp, sin ninguna autenticación adicional.
Otro error de implementación de esta función es que los mensajes “vistos una vez” se conservan en los servidores de WhatsApp durante dos semanas.
Los investigadores pudieron eludir fácilmente esta característica de privacidad de dos maneras. Primero, creamos un cliente de WhatsApp no oficial basado en el cliente API web de WhatsApp “Baileys” y lo vinculamos a una cuenta de WhatsApp existente para descargar y guardar mensajes de “ver una vez”. Luego, los mensajes cifrados se descargaron con cualquier cliente y luego se descifraron mediante OpenSSL, como se muestra en el siguiente vídeo.
Meta corrige defectos
Tras este descubrimiento, los investigadores asumieron la responsabilidad de revelar la falla a Meta. Sin embargo, los investigadores hicieron público el problema después de notar que esta falla estaba siendo explotada activamente.
Por el momento, no hay ningún parche oficial disponible para que los usuarios de WhatsApp solucionen esta vulnerabilidad de “ver una vez”. Sin embargo, según Bleeping Computer, Meta parece estar trabajando en una solución que se implementará en una versión futura. La declaración de Meta dice:
Nuestro programa de recompensas por errores es una forma importante de recibir comentarios valiosos de investigadores externos y ya estamos implementando actualizaciones para una visibilidad única en la web. Seguimos recomendando que los usuarios solo envíen mensajes de visualización únicos a personas que conocen y en las que confían.
Háganos saber su opinión en la sección de comentarios.
https://latesthackingnews.com/2024/09/16/hackers-can-bypass-whatsapp-view-once-due-to-feature-vulnerability/
