最近の脆弱性 › CVE-2019-18426
Meta Platforms WhatsApp のクロスサイトスクリプティングの脆弱性（CVE-2019-18426）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2019-18426 |
|---|---|
| 製品 | Meta Platforms WhatsApp |
| 深刻度（CVSS） | 8.2 重要CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:L/A:N |
| KEVへの追加日 | 2022-05-23 |
| 米国政府機関の対応期限 | 2022-06-13 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-79 |
何が起きた
WhatsApp for iPhone とつないで使う WhatsApp Desktop に、クロスサイトスクリプティング（不正なスクリプトを実行させる攻撃）と、パソコン内のファイルを読み取られる弱点が見つかりました。実際に悪用されたことが確認されています。攻撃者はログイン不要でネットワーク経由から狙えますが、被害者が細工されたメッセージのリンクのプレビューをクリックする必要があります。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
0.3.9309 より前の WhatsApp Desktop を、2.20.10 より前の WhatsApp for iPhone とつないで使っている人が対象です。
何をすればいい
WhatsApp Desktop が 0.3.9309 以降、WhatsApp for iPhone が 2.20.10 以降に更新されているか確認してください。公式の案内を確認して対応してください。知らない相手から届いたメッセージのリンクのプレビューは、むやみにクリックしないでください。
やることチェックリスト
- WhatsApp Desktop を 0.3.9309 以降に更新する
- WhatsApp for iPhone を 2.20.10 以降に更新する
- 知らない相手のリンクのプレビューを押さない
用語メモ
- クロスサイトスクリプティング
- 画面に不正なスクリプト（小さなプログラム）を紛れ込ませて、利用者の環境で実行させる攻撃です。
- プレビュー
- メッセージに付いたリンク先の内容を、小さく表示して見せる機能です。
元データ（英語・CISA KEV より）
WhatsApp Cross-Site Scripting Vulnerability
概要
A vulnerability in WhatsApp Desktop when paired with WhatsApp for iPhone allows cross-site scripting and local file reading.
推奨対応
Apply updates per vendor instructions.