Alertas de seguridad

WhatsApp: error permite instalar spyware en diferentes dispositivos

La plataforma de mensajería más popular del mundo nuevamente se ve enfrentada a otra vulnerabilidad crítica en su aplicación, la cual, podría haber permitido a los atacantes comprometer de manera remota dispositivos específicos y robar mensajes de chat seguros y archivos almacenados en ellos.

La vulnerabilidad rastreada como CVE- 2019-11931 es un problema de desbordamiento de búfer basado en la pila que residía en la forma en que las versiones anteriores de Whatsapp analizaban los metadatos de flujo elemental de un archivo MP4, lo que resultó en ataques de denegación de servicio o ejecución remota de código.

Detalles

La explotación de manera remota de la vulnerabilidad se basa en un atacante con el número de teléfono del usuario objetivo a quién le envía un archivo MP4 creado de manera maliciosa a través de Whatsapp, que eventualmente, se puede programar para instalar una puerta trasera o una aplicación Spyware en los dispositivos comprometidos.

La vulnerabilidad afecta tanto a los consumidores como a las aplicaciones empresariales de Whatsapp para todas las plataformas principales, incluidas Google Android, Apple iOS y Microsoft Windows.

Según un comunicado oficial de Facebook, propietario de Whatsapp, la lista de versiones afectadas es la siguiente: Versiones de Android anteriores a 2.19.274, versiones de iOS anteriores a 2.19.100. Enterprise Client versiones anteriores a 2.25.3, versiones de Windows Phone anteriores e incluidas 2.18.368, Bussines para versiones de Android anteriores a 2.19.104 y Business para versiones iOS anteriores a 2.19.100.

El alcance, la gravedad y el impacto de la vulnerabilidad hace poco revisada parecen similares a una vulnerabilidad reciente de llamadas VoIP de Whatsapp, que en su momento fue explotada por la compañía Israelí NSO Group para instalar el Spyware Pegasus en casi 1.400 dispositivos Android e iOS dirigidos en todo el mundo. No está claro si la vulnerabilidad MP4 también fue explotada como un día cero antes de que Facebook se enterara y la reparara. Conforme lo anterior, se están estableciendo comunicaciones con Facebook y WhatsApp para obtener comentarios y recibir noticias oficiales.

Acciones recomendadas

En caso de recibir un archivo de video MP4 aleatorio e inesperado a través de WhatsApp, de un número desconocido, debe ejecutar la última versión de WhatsApp en su dispositivo y deshabilitar las descargas automáticas de imágenes, archivos de audio y video desde la configuración de la aplicación.