WhatsApp for Windows’un kötü niyetli kişiler tarafından istismar edilebilecek bir güvenlik açığına sahip olduğu bildirildi. Raporda, güvenlik açığının uygulamanın uyarı göndermediği Python ve PHP yürütülebilir dosyalarını istismar ettiği iddia edildi. Sonuç olarak, şüphelenmeyen bir kullanıcı dosyayı yanlışlıkla kaydedip çalıştırabilir ve saldırganın yükü dağıtmasına izin verebilir. WhatsApp’ın sorunun kendilerinde olmadığını ve kullanıcıları bilinmeyen göndericilerden dosya indirmemeleri konusunda uyardığını belirterek herhangi bir işlem yapmayı reddettiği bildirildi.
Windows için WhatsApp’ın Bir Güvenlik Açığı Olduğu İddia Ediliyor
Birine göre rapor Bleeping Computer tarafından yapılan açıklamaya göre, güvenlik açığı WhatsApp for Windows uygulamasının son sürümünde bulundu. Kullanıcıların Python ve PHP eklerini yürütülebilir formatta göndermesine izin verdiği söyleniyor. Dosyalar, alıcının tarafında indirildiğinde, anlık mesajlaşma platformundan bir uyarı bildirimi ile sonuçlanmıyor.
Güvenlik açığı siber güvenlik firması Zeron’un güvenlik araştırmacısı Saumyajeet Das tarafından keşfedildi. Rapora göre, WhatsApp çoğu durumda .EXE gibi potansiyel olarak zararlı dosyaların başlatılmasına izin vermiyor. Kullanıcı Aç veya Farklı Kaydet seçeneklerini görebilirken, Aç’a tıklamak bir hata oluşturuyor. Kullanıcı yine de dosyayı cihaza kaydedebilir ve başlatabilir, ancak uyarı dosyanın kötü amaçlı doğasının bir hatırlatıcısı olarak işlev görür. Bu davranışın .EXE, .COM, .SCR, .BAT ve Perl gibi dosya biçimleri için tutarlı olduğu söyleniyor.
Ancak araştırmacının bildirdiğine göre, .PYZ (Python ZIP uygulaması), .PYZW (PyInstaller programı) ve .EVTX (Windows olay günlüğü dosyası) olmak üzere üç dosya türünün hata uyarısını tetiklemediğini ve kullanıcıların dosyayı açıp doğrudan uygulama içinden başlatabildiğini buldu. Ayrıca, yayın aynı istisnanın PHP dosyaları için de mevcut olduğunu buldu.
Özellikle, bu dosya türlerini kullanarak gerçekleştirilen bir saldırı, kullanıcı sisteminde Python yüklü olmadığı sürece başarılı olmayacaktır. Bu, savunmasız kullanıcıları, sistemlerinde kod yazan yazılım geliştiricilerine, araştırmacılara ve diğerlerine indirger.
Yayın, Das’ın sorunu 3 Haziran’da Meta’nın hata ödül programı aracılığıyla bildirdiğini iddia ediyor. Ancak şirket 15 Temmuz’da aynı sorunun daha önce başka bir araştırmacı tarafından bildirildiğini söyledi. Rapora göre sorun hala düzeltilmemiş ve Windows 11 için en son WhatsApp sürümü v2.2428.10.0’da mevcut olduğu söyleniyor.
Bir WhatsApp sözcüsü yayına, “Araştırmacının önerdiklerini okuduk ve sunumlarını takdir ediyoruz. Kötü amaçlı yazılımlar, bir kullanıcıyı kandırmak için tasarlanmış indirilebilir dosyalar da dahil olmak üzere birçok farklı form alabilir. Bu nedenle kullanıcıları, tanımadıkları birinden gelen bir dosyaya, onu nasıl aldıklarına bakılmaksızın, WhatsApp veya başka bir uygulama üzerinden asla tıklamamaları veya açmamaları konusunda uyarıyoruz.” dedi.