CVE-2022-36934

Integer overflow w WhatsApp umożliwiający RCE podczas połączenia wideo

CVSS 9.8v3.1pub. 2022-09-22upd. 2025-09-24

Podatność typu integer overflow w aplikacji WhatsApp pozwala na zdalne wykonanie kodu (RCE) w trakcie aktywnego połączenia wideo. Krytyczny poziom zagrożenia (CVSS 9.8) wynika z braku konieczności uwierzytelnienia i możliwości pełnego przejęcia kontroli nad urządzeniem ofiary.

▸ Pokaż oryginał (EN)

An integer overflow in WhatsApp could result in remote code execution in an established video call.

🤖 Analiza AI

Jak działa

Błąd polega na przepełnieniu liczby całkowitej (integer overflow, CWE-190), które prowadzi do przepełnienia bufora sterty (heap buffer overflow, CWE-122) podczas przetwarzania danych w ramach nawiązanego połączenia wideo. Atakujący może przesłać specjalnie spreparowane dane do ofiary w trakcie trwającego połączenia wideo, wywołując tym samym przepełnienie i umożliwiając wykonanie dowolnego kodu w kontekście aplikacji.

Skutki

Atakujący może uzyskać możliwość zdalnego wykonania dowolnego kodu (RCE) na urządzeniu ofiary bez jakiejkolwiek interakcji ze strony użytkownika poza odebraniem połączenia wideo, co może skutkować przejęciem pełnej kontroli nad aplikacją oraz dostępem do danych.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://www.whatsapp.com/security/advisories/2022/). Zaleca się niezwłoczną aktualizację aplikacji WhatsApp oraz WhatsApp Business do najnowszej dostępnej wersji za pośrednictwem oficjalnego sklepu z aplikacjami.