El eslogan de WhatsApp: simple, seguro, mensajería fiable.
Anexo necesario de marketing: agujero, actualizar, inmediatamente, vulnerabilidad, MP4.
Facebook publicó un aviso de seguridad sobre una vulnerabilidad de desbordamiento de búfer muy peligrosa en WhatsApp, CVE-2019-11931, que podría ser desencadenada por un vídeo MP4 comprometido.
Está calificada como una vulnerabilidad de alto riesgo – 7,8 – en la escala CVE. Es comprensible: si no se repara, puede conducir a la ejecución remota de código (RCE), que luego puede permitir a los atacantes acceder a los archivos y mensajes de los usuarios. El agujero de seguridad también deja a los dispositivos vulnerables al ataque de denegación de servicio (DoS).
Facebook dijo que afecta a las versiones de WhatsApp para teléfonos iOS, Android y Windows. El problema no lo encontramos solo en el WhatsApp normal, también está en WhatsApp for Business y WhatsApp for Enterprise.
Eso es una enorme cantidad de usuarios: con más de 1.500 millones de usuarios activos mensuales, WhatsApp es la aplicación de mensajería móvil más popular en todo el mundo, según Statista.
Facebook ha publicado un parche, por lo que si aún no lo has hecho, ha llegado la hora de actualizar. Aquí está la explicación técnica de Facebook sobre la vulnerabilidad:
Se podría desencadenar un desbordamiento de búfer basado en la pila de WhatsApp enviando un archivo MP4 especialmente diseñado a un usuario de WhatsApp. El problema estaba presente al analizar los metadatos de flujo elemental de un archivo MP4 y podría resultar en un DoS o un RCE.
Un portavoz de WhatsApp dijo a The Next Web que, por lo que la compañía puede decir, la vulnerabilidad aún no ha sido explotada:
WhatsApp trabaja constantemente para mejorar la seguridad de nuestro servicio. Hacemos públicos informes sobre posibles problemas que hemos solucionado de acuerdo con las mejores prácticas de la industria. En este caso, no hay razón para creer que los usuarios se vieron afectados.
Estas son las versiones de la aplicación que se ven afectadas:
- Versiones de Android anteriores a 2.19.274
- Versiones de iOS anteriores a 2.19.100
- Versiones de Enterprise Client anteriores a 2.25.3
- Versiones de Windows Phone anteriores e incluida 2.18.368
- Business para versiones de Android anteriores a 2.19.104
- Business para versiones de iOS anteriores a 2.19.100
Enlaces en cadenas de exploits
Si bien es una buena noticia saber que el error aún no ha sido explotado, no es motivo para no tratarlo con fuerza y rapidez. Tales vulnerabilidades pueden incorporarse en cadenas de exploits que vinculan vulnerabilidades: una técnica que, según los informes, es utilizada por empresas que anuncian herramientas que pueden romper incluso el cifrado de iPhone de Apple.
De hecho, WhatsApp demandó el mes pasado al fabricante de software espía NSO Group por lo que se conoce como vulnerabilidad de clic cero: una que permitía a los atacantes instalar software espía silenciosamente con solo hacer una videollamada al teléfono de un objetivo.
El ataque permitió que alguien que llamara a dispositivos vulnerables para instalar software espía que pudiera escuchar llamadas, leer mensajes y encender la cámara.
Los usuarios de WhatsApp estaban siendo pirateados por ese agujero de clic cero en un ataque que WhatsApp dice que fue habilitado por las herramientas de software espía de NSO Group, específicamente, el famoso Pegasus.
Actualiza tu teléfono
No tienes problemas si tienes instalada una versión actual de WhatsApp. Sin embargo, comprueba si hay actualizaciones disponibles para tu dispositivo.
Y realiza esa verificación con regularidad: si estás utilizando WhatsApp, esperas mensajes seguros. Para obtener ese mensaje seguro, debes fortalecer tus defensas contra los atacantes que quieren hacer un agujero en tu muro de cifrado.
