CVE-2021-24035

Path Traversal przy rozpakowywaniu archiwów w WhatsApp dla Android

CVSS 9.1v3.1pub. 2021-06-11upd. 2025-09-03

Brak walidacji nazw plików podczas rozpakowywania archiwów w WhatsApp i WhatsApp Business dla Android umożliwiał ataki typu path traversal. Podatność mogła prowadzić do nadpisania plików aplikacji przez nieuwierzytelnionego atakującego.

▸ Pokaż oryginał (EN)

A lack of filename validation when unzipping archives prior to WhatsApp for Android v2.21.8.13 and WhatsApp Business for Android v2.21.8.13 could have allowed path traversal attacks that overwrite WhatsApp files.

🤖 Analiza AI

Jak działa

Aplikacja WhatsApp dla Android nie weryfikowała poprawnie nazw plików zawartych w rozpakowywanych archiwach. Atakujący mógł spreparować archiwum zawierające pliki z sekwencjami path traversal (np. '../') w nazwach. Po rozpakowaniu takiego archiwum przez podatną aplikację, pliki mogły zostać zapisane poza docelowym katalogiem, nadpisując istniejące pliki WhatsApp na urządzeniu ofiary.

Skutki

Atakujący może nadpisać pliki aplikacji WhatsApp na urządzeniu ofiary, co może prowadzić do naruszenia integralności danych oraz potencjalnie destabilizować działanie aplikacji. Podatność nie zapewnia bezpośredniego odczytu danych, ale umożliwia ich modyfikację lub zniszczenie.

Mitygacja

Należy zaktualizować WhatsApp dla Android do wersji v2.21.8.13 lub nowszej oraz WhatsApp Business dla Android do wersji v2.21.8.13 lub nowszej. Aktualizacje dostępne są za pośrednictwem sklepu Google Play lub oficjalnych kanałów dystrybucji Meta.