äskettäin paljastettu haavoittuvuus WhatsApp for Windows antaa hyökkääjille mahdollisuuden peittää suoritettavat tiedostot näennäisesti vaarattomiksi tiedostoiksi, huijaamalla käyttäjiä käynnistämään haitallisen koodin. Virhe, joka on tunnistettu CVE-2025-30401 , korjattiin versioon 2.2450.6 sovelluksesta. Vaikka NVD-sivulla puuttuu tällä hetkellä yksityiskohtaisia tietoja, Meta ja riippumattomat tutkijat ovat antaneet selkeämmän kuvan uhasta.
ongelma on siinä, kuinka Whatsapp käsitteli tiettyjä tiedostoliitteita ennen korjausta. Hyökkääjät voisivat huijata tiedoston tyyppiä-masteroimalla vaarallisen suoritettavan hyvänlaatuisena asiakirjana tai kuvana-johtaen käyttäjien käynnistämään haittaohjelmia ymmärtämättä sitä. Vaikka virhe ei olekaan nolla-napsautusta haavoittuvuutta, virhe vaatii minimaalista vuorovaikutusta, mikä tekee siitä arvokkaan työkalun sosiaalisen tekniikan kampanjoille.
huuhtelee tiedostotyyppejä ja sosiaalisen tekniikan riskiä
Toisin kuin monimutkaisempilla hyväksikäytöillä, jotka liittyvät muistin korruptioon tai puskuriin, CVE-201025-30401 on huijaava haavoittuvuus . Se sallii haitallisten tiedostojen näkyvän turvallisina WhatsAppin käyttöliittymässä. Hyökkääjät voisivat muuttaa tiedostolaajennuksia peittämään suoritettavia esineitä uhkaaviksi muodoiksi, kuten JPEG-tai PDF-tiedostoiksi. Käyttäjät, jotka odottavat valokuvaa tai asiakirjaa, voisivat tahattomasti käynnistää haitalliset ohjelmistot. Käyttäjiä kehotetaan tarkistamaan asennusversio ja Päivitys uusimpaan versioon heti.
Vaikka Meta ei ole vahvistanut tämän puutteen viisaasti hyödyntämistä, alustan myyjät ovat nähneet aikaisemman väärinkäytön. Aikaisemmin vuonna 2025 nolla-click-haavoittuvuuden avulla havaittiin Paragonin grafiittivaarat WhatsAppilla Android-laitteilla . Kampanja koski noin 90 käyttäjää yli kahdessa kymmenessä maassa ja kohdistettuja toimittajia ja kansalaisyhteiskunnan jäseniä. Target=”_ tyhjä”> Luca Casarini , Italian meren pelastuskoordinaattori. Meta ilmoitti Casarinille, että hänen laitteensa oli vaarantunut. Italian hallitus kiisti alun perin osallistumisen, mutta myöhemmin tunnusti, että ainakin seitsemän kotimaan puhelinnumeroon vaikutettiin.
Reuters-raportointi Yhdisti hyökkäyskampanjan Israelin vakoiluyritykseen Paragon Solutions. Tapaus noudatti samanlaista päätöstä vuoden 2024 lopulla, kun Yhdysvaltain tuomari löysi NSO-ryhmän olevan vastuussa WhatsAppin hakkeroinnista toisiinsa liittymättömällä oikeusjutulla Pegasus-vakoiluohjelmissa. Mediamuodot, kuten kuvat, asiakirjat ja äänileikkeet, vaativat monimutkaista jäsentämistä koodekkien, kuten WebP: n tai LIBVPX, kautta. Näillä riippuvuuksilla on ollut haavoittuvuuksia-etenkin Kriittinen vika Googlen LIBWEBP: ssä, ja tuote-apps, tuote-ja tuotetyökaluissa, tuote-ja tuotetyökaluissa, tuote-ja tuotetyökaluissa, tuote-ja tuotetyökaluissa, tuote-apps, ja sen tuote-apps, tuote-ja tuote-ja tuotepalveluissa, tuotevalaistussa. Samankaltainen. Hyökkäyshyökkäykset ovat erityisen vaarallisia sovelluksissa, kuten WhatsApp, joissa automaattiset esikatselut ja yksinkertaistetut tiedostojen nimeäminen poistavat tyypilliset varoitusmerkit.
Ilman syvempää hiekkalaatikosta tai voimakkaampaa liitetiedostoa, jopa ei-teknisiä käyttäjiä voidaan huijata haitallisten tiedostojen suorittamiseen. CVE-2025-30401 on saatavana, monia järjestelmiä-etenkin yritys-ja hallituksen asetuksissa-eivät ehkä saa sitä välittömästi. Organisaatiot, jotka hallitsevat ohjelmistojen käyttöönottoa keskitetysti, rajoittavat usein Microsoft Store-päivityksiä, mikä tarkoittaa, että jotkut laitteet voivat pysyä haavoittuvina viikkojen tai pidempään.
Tämä viivästyminen on erityisen riskialtista ympäristöissä, joissa WhatsAppia käytetään yhteistyöhön ja tiedostojen jakamiseen. Ilman käyttäjän koulutusta tai tiedostotyyppien rajoituksia, jopa varovaiset työntekijät voivat joutua petollisten liitteiden saaliin. Turvallisuusammattilaiset suosittelevat automaattisen esittelyominaisuuksien poistamista, suoritettavien tiedostotyyppien rajoittamista ja mahdollisuuksien mukaan WhatsAppin eristäminen virtualisoidussa tai hiekkalaatikossa olevassa ympäristössä.
File Trust-virheet ja käyttöliittymän suunnittelu
-viestit ovat tulleet keskeisenä digitaalisessa viestinnässä, mutta ne palvelevat myös porttijärjestelmiä. Tiedoston huijaus hyväksikäytöt, kuten CVE-2015-30401, korosta, kuinka jotain yhtä yksinkertaista kuin harhaanjohtavia metatietoja voi ohittaa käyttäjän puolustukset. Väärin merkitty suoritettava kuva, joka on naamioitu kuvaksi, voi sivuuttaa henkiset punaiset lippujen käyttäjät, jotka voivat soveltaa, kun avataan tuntematonta tiedostoa. Vaikka tätä erityistä virhettä ei ole sidottu tällaisiin kampanjoihin, mekaniikka-vapauttaminen, minimaalinen vuorovaikutus ja kohonneet etuoikeudet-vakavammissa rikkomuksissa havaitut henkilöt. Taustalla oleva huolenaihe on kuitenkin edelleen: ilman muutoksia siihen, kuinka viestisovellukset esittelevät tiedostoja ja varoittavat käyttäjiä riskeihin, huijaavat haavoittuvuudet tarjoavat hyökkääjille edelleen luotettavaa vektoria.
Toistaiseksi paras puolustus on tietoisuus. Käyttäjien ja järjestelmänvalvojien tulee varmistaa, että heidän järjestelmänsä käyttävät WhatsApp-versiota 2.2450.6 tai myöhemmin ja pysyvät varovaisina kaikista liitteistä-riippumatta siitä, kuinka viattomia he ilmestyvät.