Adobe Acrobat: una extensión de navegador abre WhatsApp Web a sitios maliciosos

Una vulnerabilidad en la extensión del navegador Adobe Acrobat permite a sitios maliciosos leer los datos de WhatsApp Web de la víctima: un clásico elusión de la Same-Origin Policy mediante una extensión privilegiada.

Hechos

Una cadena de vulnerabilidades ya corregidas en la extensión de Adobe Acrobat para Chrome —que cuenta con más de 314 millones de usuarios— permitía que un sitio web malicioso visitado por la víctima accediera silenciosamente a los datos de WhatsApp Web: lista de contactos, conversaciones en curso e incluso el historial de mensajes.

La vulnerabilidad fue bautizada como HermeticReader por los investigadores de Guardio Labs, quienes la divulgaron tras su corrección.

El ataque aprovecha el hecho de que una extensión de navegador, especialmente una con permisos amplios (<all_urls> o similares), puede leer y escribir en el DOM de cualquier pestaña. Un fallo lógico en el código de la extensión permitía a una página externa inyectar contexto que la extensión ejecutaba con sus propios privilegios, eludiendo la Same-Origin Policy (SOP), la regla fundamental que impide que evil.com lea las cookies de whatsapp.com.

¿Quién está afectado?

• Usuarios que han instalado la extensión de Adobe Acrobat en Chromey utilizan WhatsApp Web en el mismo perfil del navegador.
• La extensión se ofrece durante la instalación de Acrobat Reader en Windows/macOS —muchos la tienen sin ser conscientes de ello.
• El alcance no se limita a WhatsApp: el mismo vector (extensión con permisos excesivos) podría, en teoría, afectar a cualquier servicio web donde la víctima esté conectada.

Qué hacer ahora

Análisis

Este tipo de incidentes ilustra un problema recurrente: las extensiones de navegador son un eslabón débil en la seguridad web. Disfrutan de privilegios que ningún código de página podría obtener (acceso a todas las pestañas, cookies y encabezados), pero su mantenimiento recibe menos recursos que los asignados a los propios navegadores o a los sitios objetivo.

La ironía del escenario: la Same-Origin Policy protege WhatsApp Web de intentos de robo desde otras páginas web. Pero no lo protege de una extensión instalada por el usuario con permisos excesivos —y es esa confianza implícita la que se traiciona aquí.

El hecho de que la extensión afecte a 314 millones de usuarios refleja la magnitud del riesgo: cada vulnerabilidad en este ámbito equivale, en potencial, a una violación masiva y silenciosa. Adobe lanzó el parche —lo esperado—, pero la pregunta de fondo persiste: ¿cuántas otras extensiones ampliamente desplegadas albergan fallos equivalentes aún no descubiertos?

Para el usuario, la regla es simple y molesta: instalar una extensión = ampliar la superficie de ataque de todos los servicios web que usa. El modo "estricto" de Chrome (Manifest V3, permisos más granulares) reduce ligeramente el riesgo, pero no lo elimina: un fallo en una extensión con permisos concedidos sigue siendo un fallo con permisos concedidos.

Para los desarrolladores de extensiones: tratar cada postMessage, cada evento DOM y cada inserción HTML desde una página externa como una entrada hostil. Es la misma higiene que se aplica a un servicio web expuesto en Internet.

Para recordar

• HermeticReader (Guardio Labs): cadena de vulnerabilidades en la extensión de Chrome de Adobe Acrobat (314M usuarios) → lectura silenciosa de WhatsApp Web. Ya corregida.
• Verifique que su extensión esté actualizada; desinstálela si no la usa.
• Recordatorio sistémico: cada extensión con permisos amplios es un posible contorno de la SOP.