CVE-2021-24042

WhatsApp — zapis poza granicami bufora podczas połączeń 1:1

CVSS 9.8v3.1pub. 2022-01-04upd. 2025-05-22

Podatność typu out-of-bounds write (buffer overflow) w logice połączeń głosowych WhatsApp umożliwia zdalne wykonanie kodu. Atakujący może ją wykorzystać bez jakiejkolwiek interakcji ofiary poza odebraniem połączenia od złośliwego rozmówcy.

▸ Pokaż oryginał (EN)

The calling logic for WhatsApp for Android prior to v2.21.23, WhatsApp Business for Android prior to v2.21.23, WhatsApp for iOS prior to v2.21.230, WhatsApp Business for iOS prior to v2.21.230, WhatsApp for KaiOS prior to v2.2143, WhatsApp Desktop prior to v2.2146 could have allowed an out-of-bounds write if a user makes a 1:1 call to a malicious actor.

🤖 Analiza AI

Jak działa

Błąd tkwi w mechanizmie obsługi połączeń 1:1 w WhatsApp. Gdy użytkownik nawiązuje lub odbiera połączenie z kontrolowanym przez atakującego kontem, złośliwa strona może wywołać zapis danych poza zarezerwowanym obszarem pamięci (out-of-bounds write, CWE-122/CWE-787). Nieprawidłowe dane trafiają do pamięci aplikacji poza przeznaczonym buforem, co może prowadzić do przejęcia kontroli nad przepływem wykonania programu.

Skutki

Skuteczne wykorzystanie podatności może umożliwić atakującemu zdalne wykonanie dowolnego kodu (RCE) na urządzeniu ofiary, a w konsekwencji przejęcie pełnej kontroli nad aplikacją lub całym urządzeniem, w tym dostęp do przechowywanych wiadomości i danych.

Mitygacja

Należy niezwłocznie zaktualizować WhatsApp do wersji: Android — v2.21.23 lub nowszej, iOS — v2.21.230 lub nowszej, KaiOS — v2.2143 lub nowszej, Desktop — v2.2146 lub nowszej. Szczegóły dostępne w oficjalnych poradach bezpieczeństwa WhatsApp pod adresem https://www.whatsapp.com/security/advisories/2021/

Kogo dotyczy

WhatsApp dla Android w wersjach wcześniejszych niż v2.21.23, WhatsApp Business dla Android w wersjach wcześniejszych niż v2.21.23, WhatsApp dla iOS w wersjach wcześniejszych niż v2.21.230, WhatsApp Business dla iOS w wersjach wcześniejszych niż v2.21.230, WhatsApp dla KaiOS w wersjach wcześniejszych niż v2.2143, WhatsApp Desktop w wersjach wcześniejszych niż v2.2146.

Uwagi

Podatność opublikowana 2022-01-04, dotyczy wersji oznaczonych rokiem 2021 — podatność istniała w aplikacji przed wydaniem poprawek w 2021 roku. Luka może być wyzwolona wyłącznie poprzez aktywne połączenie 1:1 zainicjowane lub odebrane od złośliwego aktora, co nieznacznie ogranicza powierzchnię ataku w porównaniu z błędami całkowicie pasywnego odbioru.