Passa ai contenuti principali

Nuovi bug di WhatsApp

WhatsApp proprietà di Facebook ha recentemente risolto due vulnerabilità di sicurezza nella sua app di messaggistica per Android che avrebbero potuto essere sfruttate per eseguire codice malevolo in remoto sul dispositivo e persino esfiltrare informazioni sensibili. I difetti prendono di mira i dispositivi con Android fino alla versione 9 incluso il cosiddetto attacco "man-in-the-disk" che consente di compromettere un'app manipolando alcuni dati scambiati tra di essa e l'archiviazione esterna.

"Le due vulnerabilità di WhatsApp sopra menzionate avrebbero permesso ai criminali di raccogliere da remoto materiale crittografico TLS per le sessioni TLS 1.3 e TLS 1.2", hanno detto oggi i ricercatori di Census Labs . "Con i segreti TLS a portata di mano, dimostreremo come un attacco man-in-the-middle (MitM) può portare alla compromissione delle comunicazioni di WhatsApp, all'esecuzione di codice remoto sul dispositivo vittima e all'estrazione delle chiavi del protocollo Noise utilizzate per la crittografia end-to-end nelle comunicazioni degli utenti. "

In particolare, la falla (CVE-2021-24027) sfrutta il supporto di Chrome per Android (tramite lo schema URL "content: //") e un bypass dei criteri della stessa origine nel browser (CVE-2020-6516), consentendo così a un utente malintenzionato di inviare un file HTML appositamente predisposto a una vittima tramite WhatsApp, che, una volta aperto sul browser, esegue il codice contenuto nel file HTML.


Etichette

Tag:

Commenti

Posta un commento

Popolari

PostgreSQL, grave falla di code injection in pg_dump e utilità di backup (CVE-2025-8714/CVE-2025-8715)

Negli ultimi giorni la community di PostgreSQL ha pubblicato un security advisory che segnala due vulnerabilità critiche appena corrette, catalogate come CVE-2025-8714 e CVE-2025-8715. L’impatto è rilevante perché non riguarda il server in sé ma gli strumenti di backup e ripristino, componenti fondamentali nella gestione quotidiana di qualsiasi database. Le versioni affette includono tutte quelle fino a 17.5 compresa, mentre le patch sono state rilasciate con le nuove release 17.6, 16.10, 15.14, 14.19 e 13.22. Il problema principale è una possibilità di code injection durante le operazioni di restore. Un dump SQL creato da pg_dump o pg_dumpall può contenere meta-comandi psql come \!, che normalmente permettono l’esecuzione di comandi di shell. Questi comandi, se incorporati da un attaccante all’interno di nomi di oggetti del database, non venivano adeguatamente sanitizzati e al momento del ripristino venivano interpretati dal client. Il risultato è l’esecuzione arbitraria di comandi su...
Posta un commento
Continua a leggere »

Stefano De Martino e Caroline Tronelli, attacco alle Telecamere di casa... Come difendersi?

Ogni volta che parlo con mia mamma della sua webcam per controllare il cane quando non c’è in casa, le dico sempre: “Fai attenzione, proteggi bene la tua telecamera, cambia la password, aggiorna il firmware, non lasciare tutto aperto al mondo.” E puff, appena qualche giorno dopo, succede l’ennesimo fattaccio. Stavolta a farne le spese sono stati Stefano De Martino e la sua compagna Caroline Tronelli: hacker sono riusciti ad accedere alle loro telecamere domestiche e a rubare video privati, diffondendoli online. È un episodio che ci ricorda quanto sia fragile la nostra privacy digitale, anche nelle mura di casa. Gli attacchi alle telecamere IP non sono fantasia: spesso sfruttano password deboli, firmware non aggiornati o configurazioni di rete poco sicure. Per chi non è esperto, può sembrare complicato, ma ci sono alcune regole base che chiunque può seguire per proteggersi. Prima di tutto, non usare mai password standard o facili da indovinare, e dove possibile attiva l’autenticazione ...
Posta un commento
Continua a leggere »

15,8 milioni di credenziali PayPal in chiaro finiscono in vendita sul dark web

Un utente di un noto forum di hacking, conosciuto con lo pseudonimo Chucky_BF, ha messo in vendita un archivio contenente oltre 15,8 milioni di credenziali PayPal, complete di email e password in chiaro. L’annuncio, comparso il 18 agosto 2025, ha immediatamente attirato l’attenzione di ricercatori e giornalisti specializzati, dato che la dimensione del database e la tipologia di dati esposti lo rendono uno dei dump più significativi degli ultimi mesi. Secondo le prime analisi, il dataset non proverrebbe da una violazione diretta dei sistemi PayPal, ma piuttosto da tecniche di compromissione laterale, come l’utilizzo di malware infostealer o il riutilizzo di credenziali raccolte tramite campagne di phishing e credential stuffing. L’ipotesi è supportata dal fatto che PayPal ha negato qualsiasi nuova intrusione, collegando la fuga di dati a eventi già noti risalenti ad alcuni anni fa. Gli infostealer rappresentano oggi una delle principali fonti di raccolta credenziali sul dark web: insta...
Posta un commento
Continua a leggere »