WhatsApp reveló la existencia de una vulnerabilidad crítica en la aplicación que permite instalar el conocido spyware Pegasus en dispositivos Android e iOS con solo realizar una llamada al número de teléfono que se busca comprometer. La vulnerabilidad ya fue reparada y la compañía lanzó un parche con la última actualización.
De acuerdo a la información revelada el lunes, Facebook, propietario de WhatsApp, anunció oficialmente la existencia de una vulnerabilidad (CVE-2019-3568) de buffer overflow (o desbordamiento de búfer) en WhatsApp VOIP que permiten la ejecución remota de código en el dispositivo de la víctima cuando se logra enviarle al número de teléfono elegido como blanco de ataque paquetes de SRTP especialmente diseñados. En este sentido, para explotar el fallo el atacante solo necesita llamar a un dispositivo vulnerable. Además, la víctima ni siquiera necesita aceptar la llamada para que su equipo sea comprometido e incluso la llamada desaparece del registro, explicó Financial Times.
Según explicaron algunos medios, la compañía sospecha que un bajo número de usuarios fue blanco de este ataque que busca instalar el spyware. Probablemente operado por actores con conocimientos avanzados dado que no se trata de una acción trivial. Además, teniendo en cuenta que el spyware instalado busca principalmente recolectar información de los dispositivos, pero no secuestrarlos (como podría hacer un ransomware), es de suponer que se trata de una vulnerabilidad explotada en ataques dirigidos, explicó el investigador en seguridad de ESET, Luis Lubeck.
Asimismo, luego de ser descubierto el fallo, en un período menor a los diez días la compañía desarrolló un parche que lanzó el pasado viernes con la última actualización. Por lo tanto, aquellos usuarios que cuenten con la última versión de la app no podrán ser víctimas de este exploit. Esto demuestra la importancia que juega en la prevención y mitigación de vulnerabilidades el hecho de tener siempre los equipos actualizadas con la última versión disponible, añadió el investigador de ESET.
Son vulnerables a este fallo:
Las versiones para Android anteriores a la 2.19.134 y para iOS anteriores a la 2.19.51; las versiones de WhatsApp Business para Android anteriores a la 2.19.44 y de Business para iOS anteriores a la 2.19.51; así como las versiones para Windows Phone anteriores a la 2.18.348 y de WhatsApp para Tizen anteriores a la 2.18.15.
