Meta risolve segretamente il bug di WhatsApp che permetteva di visualizzare i media usa e getta senza scadenza

Vulnerabilità della funzione di media ‘view-once’ di WhatsApp su iOS

Recentemente è emersa una nuova vulnerabilità nella funzione di media ‘view-once’ di WhatsApp per i dispositivi iOS. Questa falla consentiva ai destinatari di visualizzare i contenuti in modo illimitato, aggirando l’ephemeralità prevista dalla funzione, accedendo alle impostazioni di gestione dello storage dell’app. Sebbene il problema fosse specifico per iOS e non riproducibile su Android, sembra che sia stata corretta tramite un aggiornamento server durante il weekend.

Dettagli sulla vulnerabilità

WhatsApp, appartenente a Meta, è una delle piattaforme di messaggistica più sicure attualmente disponibili. Essa offre crittografia end-to-end, opzioni di verifica in due passaggi e impostazioni sulla privacy per i gruppi. La funzionalità ‘view-once’ ha mostrato in passato alcune vulnerabilità.

Scoperta della falla

A settembre dello scorso anno, il ricercatore di sicurezza Tal Be’ery ha trovato un modo per visualizzare e salvare media ‘view-once’ su WhatsApp Web, nonostante la funzione fosse progettata per funzionare solo sulle app di messaggistica Android e iOS. Questa vulnerabilità è stata corretta all’inizio di dicembre.

Come funzionava l’exploit

Fino alla recente correzione, le istruzioni per sfruttare la falla consistevano nel seguire alcuni passaggi:

1. Ricevere un media ‘view once’. Dopo averlo aperto e chiuso, non si poteva più visualizzarlo.
2. Accedere a Impostazioni → Archiviazione e dati → Gestisci archiviazione.
3. Scorrere verso il basso e localizzare il contatto che ha inviato il media scomparso, quindi toccare il loro nome.
4. Ordinare per: Più recenti.
5. Il media ‘view once’ appare in cima all’elenco, accessibile nuovamente.

Correzione della falla

Il team di Android Police ha potuto riprodurre la vulnerabilità all’interno il 23 gennaio, ma non è più possibile hacerlo, suggerendo che Meta abbia implementato una correzione durante il fine settimana. Non c’è una nuova versione di WhatsApp, il che indica che è stata una correzione server-side. Meta non ha ancora ufficialmente riconosciuto la vulnerabilità.