Vulnerabilidad CVE-2019-11931 en WhatsApp podría servir para instalar spyware

Vulnerabilidad CVE-2019-11931 en WhatsApp podría servir para instalar spyware

El popular servicio de mensajería de WhatsApp vuelve a ocupar portadas debido esta vez a una vulnerabilidad recientemente descubierta que podría usarse por un ciberdelincuente para instalar spyware remotamente.

Según diversos sitios especializados -como The Hacker News- WhasApp ha corregido recientemente un fallo de seguridad importante con identificador CVE-2019-11931.

Nueva vulnerabilidad hallada en WhatsApp

No es otra cosa que un buffer overflow (desbordamiento de búfer) provocado por la forma en que la app gestiona el contenido de archivos MP4.

Un ataque de tipo stack buffer overflow podría lanzarse en WhatsApp si se envía un archivo MP4 específicamente modificado a un usuario de la aplicación. El fallo está presente en el «parseo» de los metadatos elementales del flujo de un archivo con extensión mp4, pudiendo ocasionar un DoS o RCE.

Así lo explican en el boletín publicado estos días. 

Esto afecta a las versiones Android anteriores a 2.19.274, versiones iOS anteriores a 2.19.100, versiones de cliente corporativo antes de la 2.25.3, versiones Windows Phone previas (e incluyendo) a la 2.18.368, Business for Android anteriores a  la 2.19.104 y Business for iOS previas a la 2.19.100.

El fallo podría ocasionar una condición DoS que un atacante remoto podría usar para ejecutar código remoto en el dispositivo.

Ya en Octubre, un experto descubrió dos vulnerabilidades en WhatsApp for Android y demostró la forma de atacar remotamente el dispositivo vulnerable. Facebook reaccionó lanzando la versión de software 2.19.244.

En Mayo, Facebook parcheó un fallo de seguridad crítico en WhatsApp conocido como CVE-2019-3568, que ya ha sido responsable de instalar spyware en decenas de dispositivos móviles.

La vulnerabilidad Día Cero CVE-2019-3568 es de tipo buffer overflow y afecta al conjunto de funciones VOIP. Dicho fallo podría explotarse por parte de un atacante remoto para ejecutar código arbitrario, siempre que se envíe un paquete de tipo SRTCP modificado al dispositivo móvil.

En cuanto a este último posible ataque (CVE-2019-11931) no está claro por el momento si ha sido utilizado en ciberataques.

Autor: Alejandro Sánchez

Alejandro es técnico micro-informático, experto en seguridad de las TIC y apasionado de la tecnología. Colabora habitualmente en diferentes publicaciones de seguridad, software y análisis de hardware entusiasta.