WhatsApp corrige 2 vulnerabilidades críticas:  CVE-2022-36934 y CVE-2022-27492

TEAM CSIRT

Durante esta semana, la aplicación de mensajería instantánea: WhatsApp, corrige dos vulnerabilidades críticas que habría permitido a un atacante realizar ejecución remota de código (RCE), afectando a su aplicación móvil o dispositivo.

Las vulnerabilidades que permitirían piratear de forma remota los dispositivos de sus víctimas serían: CVE-2022-36934, la cual actúa mediante video llamadas en el aplicativo o el CVE-2022-27492, el cual actúa mediante él envió de un archivo de video. A continuación, se detalla las vulnerabilidades mencionadas.

  • CVE-2022-36934: con una calificación de gravedad “Crítica” (puntuación CVSS:9.8), genera un desbordamiento de enteros que afecta uno de los componentes del aplicativo, en este caso es el controlador de video llamadas de WhatsApp, lo que permite que un atacante explote la vulnerabilidad durante una video llamada a un usuario objetivo, tomando el control completo de su aplicación de WhatsApp.
  • CVE-2022-27492: con una calificación de riesgo “Alto” (puntuación CVSS:7.8), genera un subdesbordamiento de enteros que afecta a otro componente del aplicativo, el controlador de archivos de video de WhatsApp, permitiendo a un atacante explotar esta vulnerabilidad enviando un archivo de video manipulado y convenciéndolo de reproducirlo.

Estas versiones de WhatsApp están afectadas por CVE-2022-36934:

  • WhatsApp para iOS y Android anteriores a v2.22.16.12
  • WhatsApp Business para iOS y Android anteriores a v2.22.16.12

Estas versiones de WhatsApp están afectadas por CVE-2022-27492:

  • WhatsApp para Android anteriores a v2.22.16.2
  • WhatsApp para iOS v2.22.15.9

De momento no hay indicios de que estas vulnerabilidades ya hayan sido explotadas. Por lo pronto el equipo de seguridad interna de WhatsApp que encontró estas vulnerabilidades, las solucionó de manera silenciosa, por lo que es muy probable que su WhatsApp ya se haya actualizado. Sin embargo, nunca está de más comprobarlo.

Recomendación:

Los usuarios que mantengan estas versiones de WhatsApp afectadas (anteriores a la versión v2.22.16.12), se recomienda que actualicen a las últimas versiones de inmediato para mitigar el riesgo asociado con las fallas CVE-2022-36934 y CVE-2022-27492.

Otra buena opción es la de habilitar las actualizaciones automáticas (si están disponibles) en iOS App Store y Android Play Store.

Referencias: