Luka w WhatsAppie na Androidzie: podgląd galerii bez PIN-u

Na nieprawidłowe działanie zwrócił uwagę użytkownik serwisu X o nicku @VBarraquito, a później zostało ono potwierdzone m.in. przez NotebookCheck oraz Mobile Hacker. W opisanym scenariuszu wystarczy odebrać połączenie w WhatsAppie, a następnie przejść do narzędzi związanych z filtrami i efektami wideo — z tego miejsca ma pojawiać się podgląd fotografii zapisanych w pamięci urządzenia.

Standardowo, przy włączonej blokadzie, WhatsApp powinien zatrzymać użytkownika na ekranie zabezpieczeń i poprosić o weryfikację — np. PIN albo odcisk palca. W przypadku tej luki miniatury zdjęć mogą jednak wyświetlić się wcześniej. Nie oznacza to przejęcia pełnej kontroli nad telefonem, ale sam wgląd w prywatne pliki staje się możliwy.

Podatność nie jest identyczna na wszystkich urządzeniach. NotebookCheck ustalił, że w telefonie z serii Galaxy system wymusza odblokowanie ekranu, zanim da się dotrzeć do opisanego miejsca w aplikacji. Inaczej miało to wyglądać na smartfonach Pixel i Oppo, gdzie cały mechanizm miał działać bez dodatkowych przeszkód.

Zgłaszany błąd nie dotyczy iPhone’ów. W wersji WhatsAppa na iOS połączenia obsługiwane są przez natywny interfejs systemu Apple. Na Androidzie elementy związane z połączeniem i efektami wideo mają natomiast tworzyć ścieżkę, która w praktyce może prowadzić do podglądu galerii.

Zakres nadużycia pozostaje ograniczony: osoba wykorzystująca podatność nie ma uzyskać dostępu do innych obszarów urządzenia ani "złamać" całej blokady ekranu. Mimo to może zobaczyć zdjęcia, a w praktyce także utrwalić je, wykonując fotografię ekranu drugim telefonem — i to właśnie ten aspekt budzi największe obawy o prywatność.

Na ten moment nie pojawiła się zapowiedź aktualizacji usuwającej problem. Luka została już zgłoszona do WhatsAppa i Google. Do czasu wydania poprawki jako tymczasowe rozwiązanie wskazuje się ograniczenie uprawnień WhatsAppa do zdjęć i wideo w Androidzie, co ma uniemożliwiać wykorzystanie tej metody podglądu.