Wie nog niet op versie 2.19.244 van WhatsApp zit, moet zo snel mogelijk de app updaten. Op de meeste Android-toestellen zal het lek via een automatisch update ondertussen gedicht zijn.
Lees verder na de advertentie
In WhatsApp-versies voor Android ouder dan versie 2.19.244 zit een veiligheidslek. Aanvallers kunnen dit misbruiken om willekeurige code uit te voeren, bestanden van WhatsApp te benaderen (inclusief de berichten-database) en Denial-of-Service-toestanden (DoS) te veroorzaken. In combinatie met andere apps zoals een browser was het ook mogelijk om remote toegang te krijgen.
Producent Facebook heeft vorige week al een waarschuwingsbericht gepubliceerd over het lek met CVE-nummer CVE-2019-11932. Daarin is te lezen dat het lek in versie 2.19.244 van WhatsApp is gedicht. De laatste update in de Play Store was van 3 oktober. Er is een proof-of-concept-exploit, die met succes op Android 8.1 en 9.0 is getest. Op versies voor 8.1 werkt die echter niet.
Tip
Krijg direct toegang tot alle beschikbare edities op je laptop, tablet of smartphone.
Aanval via GIF-bestand
Zowel voor een lokale als remote aanval via CVE-2019-11932 wordt een gemanipuleerde afbeelding in .gif-formaat gebruikt. Bij het maken daarvan moet specifieke (geheugenadres-)informatie van het doelapparaat gebruikt worden.
Bij de lokale exploit kan de GIF worden gemaakt door een (door de aanvaller geïnstalleerde) toepassing op het apparaat. Maar bij een remote aanval moet de aanvaller de benodigde gegevens via een andere app (bijvoorbeeld een browser) op afstand bemachtigen en de GIF vervolgens via WhatsApp naar het slachtoffer sturen. Als de aanvaller al in de contactenlijst staat, wordt de afbeelding automatisch gedownload.
De exploit start als er een preview van de GIF op het toestel wordt getoond. Dat gebeurt bijvoorbeeld bij doorsturen van de GIF als je via het paperclip-pictogram naar de WhatsApp-galerij gaat die de gemanipuleerde GIF bevat. De GIF kan een remote shell openen, waarmee de aanvaller bij WhatsApp-bestanden kan.
Meer details over het veiligheidslek kun je lezen op GitHub. De ontdekker heeft het daar uitvoerig beschreven, en de proof-of-concept-code en een demo-video gepubliceerd.
- AI en cognitieve vaardigheden
- Werken met gestructureerde processen
- Gaat AI werknemers vervangen?
- c’t security-checklist 2026
Tip
Krijg direct toegang tot alle beschikbare edities op je laptop, tablet of smartphone.
Praat mee