Meldung

Denial-of-Service-Schwachstelle in WhatsApp

Forscher von Check Point haben eine Schwachstelle in WhatsApp entdeckt. Diese Lücke ermöglichte es Angreifern, eine Gruppen-Chatnachricht zu senden, die die App für alle Mitglieder der Gruppe zum Absturz gebracht hätte. Um WhatsApp wieder zu nutzen, hätten die Benutzer es deinstallieren und neu installieren und dann die Gruppe löschen müssen, die die Nachricht enthielt.
Um diese Nachricht zu erstellen, müsste der Angreifer laut Check Point [1] ein Mitglied der Zielgruppe sein (WhatsApp erlaubt bis zu 256 Benutzer pro Gruppe). Von dort aus müsste er WhatsApp Web und das Debugging-Tool seines Webbrowsers verwenden, um bestimmte Nachrichtenparameter zu bearbeiten und den bearbeiteten Text an die Gruppe zu senden. Diese bearbeitete Nachricht würde zu einer Absturzschleife für Gruppenmitglieder führen und den Benutzern den Zugriff auf alle WhatsApp-Funktionen verwehren, bis sie WhatsApp neu installieren und die Gruppe mit der Nachricht löschen.

Das Check Point Research-Team fand die Schwachstelle, indem es die Kommunikation zwischen WhatsApp und WhatsApp Web, der Webversion der App, untersuchte, die alle vom Telefon des Benutzers gesendeten und empfangenen Nachrichten widerspiegelt. Auf diese Weise konnten die Forscher die für die WhatsApp-Kommunikation verwendeten Parameter sehen und manipulieren. Diese neue Untersuchung baut auf den von Check Point Research entdeckten "FakesApp"-Fehlernauf, die es ermöglichten, Gruppen-Chat-Nachrichten zu bearbeiten, um Fake News zu verbreiten.

Die Forscher haben ihre Ergebnisse Ende August dann an das WhatsApp Bug-Bounty-Programm weitergegeben. WhatsApp bestätigte die Ergebnisse und entwickelte einen Fix zur Behebung des Problems, der seit WhatsApp Versionsnummer 2.19.58 verfügbar ist. Benutzer sollten diesen im Zweifelsfall manuell auf ihren Geräten anwenden.
17.12.2019/dr

Tipps & Tools

Sicherheitslücke in GRUB2 entdeckt [4.08.2020]

Eclypsium-Forscher haben eine Schwachstelle namens "BootHole" im GRUB2-Bootloader entdeckt. Durch die Sicherheitslücke könne ein Angreifer den UEFI Secure Boot umgehen und eigenen Code ausführen, um Kontrolle über ein Gerät zu erhalten. Fast alle signierten Versionen von GRUB2 seien anfällig, was bedeutet, dass praktisch jede Linux-Distribution betroffen ist. [mehr]

Privacy Shield nicht zulässig [21.07.2020]

Der Europäische Gerichtshof hat die "Privacy Shield"-Vereinbarung zwischen der EU und USA für ungültig erklärt. Damit ist für Unternehmen die Datenübertragung persönlicher Daten ihrer Kunden über den Atlantik in vielen Fällen nicht erlaubt. Dennoch genehmigt das Gericht die Übertragung von Daten auf Grundlage sogenannter Standardvertragsklauseln. [mehr]

Fachartikel

Führungskräfte für IT-Sicherheit sensibilisieren (2) [10.08.2020]

Zuletzt gaben 29 Prozent der Unternehmen an, in den letzten zwei Jahren Opfer von Angriffen auf ihre IT gewesen zu sein. Zwar reagieren Unternehmen zunehmend mit Firewalls und Co. auf die Bedrohungslage, insgesamt steht es mit der Abwehrbereitschaft aber noch immer nicht zum Besten. Einer der Gründe dafür ist die mangelnde Sensibilität auf C-Level-Ebene. Schließlich nützt es nur wenig, wenn die IT-Abteilung zwar eine realistische Einschätzung der tatsächlichen Bedrohungslage hat, die Führungsebene aber nicht die erforderlichen Ressourcen bereitstellt, um diesen Problemen zu begegnen. Die Artikelserie beschreibt daher Methoden zur Sensibilisierung von Führungskräften. In der zweiten Folge geht es darum, wie Sie WLAN-Schwachstellen aufspüren und demonstrieren. [mehr]

Buchbesprechung

Microsoft Office 365

von Markus Widl

Anzeigen