Sicherheitslücke in Whatsapp für Windows

In der Windows-Desktop-Version von Whatsapp gibt es eine Sicherheitslücke. Eigentlich blockiert der Messenger das Öffnen ausführbarer Dateien direkt aus einem Chat heraus. Doch bei Phyton- und PHP-Skripten wird diese Sperre umgangen, wie "Bleeping Computer" berichtet.

Dateitypen, die ein Risiko darstellen könnten, beispielsweise Dateien mit den Endungen .exe, .dll, .com werden vom Messenger hingegen blockiert. Falls versucht wird, eine solche Datei aus dem Chat heraus zu öffnen, erhält die Anwenderin oder der Anwender eine Fehlermeldung. Doch dem Bericht zufolge warnt Whatsapp die Anwender bei Phython- oder PHP-Anhängen nicht vor den Sicherheitsrisiken.


Damit ein Angriff erfolgreich durchgeführt werden kann, muss allerdings Phython installiert sein, was beispielsweise bei den Zielgruppen Softwareentwickler, Forscher und Power-User zutrifft.

Die Schwachstelle ähnelt einem Telegram-Problem vom April, das der Anbieter zunächst bestritt, doch dann später behob. Cyberkriminelle konnten Sicherheitswarnungen umgehen und Remotecode ausführen, wenn sie eine Phython.pyzw-Datei über den Telegram-Client verschickten.

Kein Patch verfügbar

Entdeckt wurde die Sicherheitslücke vom Sicherheitsforscher Saumyajeet Das, als er mit Dateitypen experimentierte, die er an Whatsapp-Konversationen anhängte, um zu sehen, ob die Anwendung einige der riskanten Typen zulässt. Er meldete das Problem am 3. Juni an Meta. Laut "Bleeping Computer" antwortete das Unternehmen am 15. Juni, dass das Problem bereits von einem anderen Forscher gemeldet worden sei. Später war der Fehler jedoch noch immer in der Whatsapp-Version für Windows auffindbar und konnte vom Techportal für Windows 11, v2.2428.10.0 reproduziert werden. Ein Patch ist derzeit nicht verfügbar.


Ein WhatsApp-Sprecher äusserte gegenüber "Bleeping Computer", dass der Messenger über ein System verfüge, das Nutzer warne, wenn sie Nachrichten von Nutzern erhalten, die nicht in der Kontaktliste stehen oder deren Telefonnummern im Ausland registriert sind. Doch wenn ein Nutzerkonto gekapert wird, könnte ein Angreifer bösartige Skripte an alle in der Kontaktliste senden. (cma)