Atac zero-click WhatsApp a devenit in ultima perioada o amenintare reala si sofisticata. Un atac zero-click WhatsApp inseamna ca un barbat poate fi compromis fara sa apese vreun link, fara sa deschida ceva si fara niciun contact direct: aplicatia preia automat o imagine DNG dintr-un server controlat de atacator, iar in timpul afisarii acelei imagini se declanseaza o eroare care permite rularea unui cod malițios.
Mecanismul concret observat combina doua vulnerabilitati: CVE-2025-55177 — o eroare de tip „incomplete authorization” in WhatsApp care permite fortarea descarcarii unei resurse dintr-un link — si CVE-2025-43300 — un „out-of-bounds write” in procesorul de imagini (ImageIO) al sistemelor Apple. Astfel, atacatorul construieste un fisier DNG special, il directioneaza catre aplicatia WhatsApp si, fara ca victima sa faca ceva, fisierul este procesat, memorii sunt corupte si se poate executa cod arbitrar: instalare malware, acces la fisiere, microfon sau camera.
Formatul .DNG este usor de generat si contine previzualizari incorporate; tocmai aceasta optiune face posibila exploatarea: atac zero-click WhatsApp profita de faptul ca aplicatia sau sistemul genereaza/afiseaza automat thumbnail-uri. In practica, atac zero-click WhatsApp poate aparea in momentul sincronizarii intre dispozitive sau prin linkuri folosite de mecanismele de sincronizare ale aplicatiei.
Versiuni afectate (rezumat):
-
WhatsApp iOS: versiunile inainte de 2.25.21.73
-
WhatsApp Business iOS: inainte de 2.25.21.78
-
WhatsApp macOS: inainte de 2.25.21.78
-
ImageIO (Apple): iOS/iPadOS < 16.7; macOS < Sonoma 14.7.8 / Ventura 13.7.8 / Sequoia 15.6.1
Ce poate face un utilizator (recomandari imediate):
-
Actualizeaza imediat WhatsApp, WhatsApp Business si WhatsApp for Mac la ultimele versiuni disponibile.
-
Aplica toate update-urile Apple pentru iOS, iPadOS si macOS.
-
Evita conectarea la retele publice nesigure si pastreaza backup-urile criptate.
-
Activeaza setarile de securitate disponibile (ex: verificare in doi pasi in WhatsApp) si trateaza orice notificare de securitate cu seriozitate.
-
Pentru informatii oficiale urmareste alertele publicate de DNSC si paginile producatorilor.
Ce semnaleaza atacul acesta la nivel mai larg: atac zero-click WhatsApp arata ca chiar si aplicatii larg raspandite pot fi folosite ca vectori de infectie daca sistemele de autorizare si procesare a fisierelor nu sunt robuste. Actualizarea rapida ramane masura indispensabila.
Pentru detalii tehnice si alerte oficiale consultati site-ul DNSC si pagina noastra interna cu sfaturi: https://diagnozabam.ro/sfaturi/
Sursa: ALERTA: WhatsApp 0-Click Vulnerability CVE-2025-55177 & CVE-2025-43300
✍️ Autor: Bejenaru Alexandru Ionut – [email protected]
✍️ Autor: Bejenaru Alexandru Ionut – [email protected]
🔗 Link intern: https://diagnozabam.ro/sfaturi
