Resulta que WhatsApp Messenger está afectado por una vulnerabilidad explotable de desbordamiento de búfer, que puede utilizarse para hacerse con el control del teléfono con "cero clics", realizando una llamada mediante paquetes especialmente diseñados:
El Registro :
Estamos en 2019 y una llamada de WhatsApp puede hackear un teléfono : Un exploit de día cero infecta a móviles con programas espía
también
The Verge :
Actualiza ya WhatsApp para evitar la instalación de spyware por una simple llamada perdida : El programa espía NSO Pegasus puede encender la cámara y el micrófono del teléfono y recopilar correos electrónicos, mensajes y datos de localización.
y, originalmente el Financial Times (lamentablemente, de pago):
Llamadas de voz de WhatsApp utilizadas para inyectar software espía israelí en teléfonos
Lectura del artículo de El Registro :
Un fallo de seguridad en WhatsApp puede ser, y ha sido, explotado para inyectar espía en los smartphones de las víctimas: basta con que un fisgón haga una una llamada de voz trampa al número del objetivo y ya está dentro. La víctima de víctima no tiene que hacer nada más que dejar el teléfono encendido.
Los ingenieros de Facebook se afanaron durante el fin de semana para tapar el agujero, designado CVE-2019-3568, y las nuevas versiones seguras de WhatsApp se distribuyeron a los usuarios el lunes. Si tu teléfono te ofrece actualizar WhatsApp por ti, hazlo o busca nuevas versiones manualmente. La vulnerabilidad vulnerabilidad está presente en las versiones de Google Android, Apple iOS y Microsoft Windows Phone de la aplicación, utilizada por 1.500 millones de personas. mil millones de personas en todo el mundo.
Vale, genial. No pertenezco al grupo de pobres que protestan contra sus desagradables gobiernos ni al de los desagradables que protestan contra sus gobiernos por otros medios, pero quiero actualizarme de todos modos.
Facebook reparte este miniconsejo :
CVE-2019-3568
Descripción: Una vulnerabilidad de desbordamiento de búfer en la pila VOIP de WhatsApp permitía la ejecución remota de código a través de una serie de paquetes SRTCP especialmente diseñados enviados a un número de teléfono objetivo.
Versiones afectadas: El problema afecta a WhatsApp para Android anterior a v2.19.134, WhatsApp Business para Android anterior a v2.19.44, WhatsApp para iOS anterior a v2.19.51, WhatsApp Business para iOS anterior a v2.19.51, WhatsApp para Windows Phone antes de v2.18.348, y WhatsApp para Tizen anterior a v2.18.15.
Última actualización: 2019-05-13
Tenga en cuenta que CVE-2019-3568 es no figura (aún) en la base de datos del NIST : CVE ID no encontrado.
Ahora, estoy un poco confundido. He comprobado la versión de la aplicación WhatsApp en mi Samsung:
- Iniciar WhatsApp
- Ir al menú con el punto triple ()
- Seleccione "Configuración" en el menú que aparece
- Seleccione "Ayuda" en el menú que aparece
- Seleccione "App Info" en el menú que aparece
- Verás algo como "WhatsApp Messenger" Versión 2.19.134
(¿Por qué es tan complicado? Google debería exigir que las aplicaciones depositaran su cadena de versiones en una base de datos fácilmente perutilizable, como mandaría la cordura. En fin...)
Tengo la versión 2.19.134. De acuerdo con el aviso de Facebook, que debería ser bien .
Pero cuando compruebo en el Play Store Veo "Última actualización 10 de mayo de 2019", es decir, antes del fin de semana. Aquí no se da información de la versión, alguien en la oficina de diseño necesita que le den latigazos. ¿Y hay un registro de cambios en alguna parte?
Por último, cuando voy a https://www.whatsapp.com/Android/ Me dicen que puedo "Descargar ahora" la versión 2.19.137, que es tres ticks menores que la versión que tengo.
Así que..:
- ¿Debería no preocuparme porque estoy en la versión segura (sobre la que ahora tengo información contradictoria).
- ¿Debería esperar a que WhatsApp Messenger se actualice por sí mismo (lo que presumiblemente ocurrirá pronto, o tal vez pueda activarse explícitamente)?
- ¿Debo instalar la versión en https://www.whatsapp.com/Android/ en lugar de utilizar la Play Store (ni siquiera estoy seguro de que funcione).
Actualización
Para mayor lulz, la pantalla "Notificación de actualización": Muestra que Whatsapp Messenger se ha actualizado "hace 2 días" (es decir, alrededor del lunes), pero no da el número de la nueva versión y, tímidamente, no dice nada sobre ningún problema de seguridad.
0 votos
Kaspersky dice en Una llamada de WhatsApp basta para establecer la vigilancia : Nuestra mejor sugerencia por el momento es que te asegures de que tu WhatsApp está actualizado. Para ello, ve a la App Store de Apple o a Google Play Store, busca WhatsApp y pulsa Actualizar. Si no aparece el botón "Actualizar", pero en su lugar ves el botón "Abrir", significa que tienes la última versión de WhatsApp y que ya está parcheada contra este tipo de ataques. Esto significa que tengo "una última" versión pero no "la última" versión. Esta falta de información me parece preocupante.