En mayo de 2019, detuvo un ataque cibernético altamente sofisticado que explotaba la manera en que WhatsApp conecta las videollamadas para enviar malware a los dispositivos móviles de algunos usuarios de WhatsApp. La naturaleza del ataque no requería que los usuarios afectados contestaran las llamadas que recibieron.

WhatsApp mandó un mensaje especial de WhatsApp a aproximadamente 1.400 usuarios que consideramos que podrían haberse visto afectados por este ataque a fin de informarles acerca de lo sucedido.

WhatsApp también presentó una denuncia en un tribunal federal de EE. UU., en la cual atribuye el ataque a una compañía de spyware llamada NSO Group y a su empresa matriz, Q Cyber Technologies.

Fuente:
https://faq.whatsapp.com/general/security-and-privacy/protecting-our-users-from-a-video-calling-cyber-attack

 MP4 File Handler

«Un desbordamiento de búfer («stack-based buffer overflow») podría desencadenarse en WhatsApp enviando un archivo especialmente elaborado a un usuario de WhatsApp. Este asunto estaba presente en el análisis, al leer los metadatos elementales de un archivo MP4 y puede resultar en un ataque DoS o RCE», ha explicado Facebook.

CVE-2019-11931
Description: A stack-based buffer overflow could be triggered in WhatsApp by sending a specially crafted MP4 file to a WhatsApp user. The issue was present in parsing the elementary stream metadata of an MP4 file and could result in a DoS or RCE. This affects Android versions prior to 2.19.274, iOS versions prior to 2.19.100, Enterprise Client versions prior to 2.25.3, Windows Phone versions before and including 2.18.368, Business for Android versions prior to 2.19.104, and Business for iOS versions prior to 2.19.100.
Affected Versions: Android versions prior to 2.19.274, iOS versions prior to 2.19.100, Enterprise Client versions prior to 2.25.3, Windows Phone versions before and including 2.18.368, Business for Android versions prior to 2.19.104, and Business for iOS versions prior to 2.19.100.
Last Updated: 11-14-2019 

Esta vulnerabilidad se trata de un error de «software» que se produce cuando un programa no controla adecuadamente la cantidad de datos que se copian y almacenan en una memoria diseñada para ello. Si la cantidad de datos destinada a almacenar en la misma supera la capacidad que esta tiene, los «bytes» sobrantes se guardan en zonas de memoria adyacentes sobreescribiendo su contenido original que suele pertenecer a datos o códigos almacenados en memoria.

De acuerdo con el comunicado emitido por Facebook, esta vulnerabilidad ha afectado tanto a dispositivos iOS como Android en versiones antiguas de WhatsApp. El error fue parcheado con la actualización del pasado 3 de octubre, pero sigue afectando a los dispositivos con «software» desactualizado.

En concreto, están afectadas las versiones de Android anteriores a 2.19.274, las de iOS previas a 2.19.100, versiones de Enterprise Client anteriores a 2.25.3, las de Windows Phone anteriores e incluyendo 2.18.368, las de Business para Android previas a 2.19.104, y las de Business para iOS anteriores a 2.19.100

A pesar de no haber dado detalles, ya parecen existir Pruebas de Concepto (PoC) para explotar esta vulnerabilidad. Se urge a todos los usuarios de WhatsApp a actualizar a la última versión disponible para evitar ser víctimas de esta vulnerabilidad.

• https://github.com/kasif-dekel/whatsapp-rce-patched

CVE-2019-11932 y CVE-2019-3568

Otra vulnerabilidad crítica, también RCE, algo parecida, pero con ficheros GIF maliciosos y sólo para versiones Android, fue descubierta en octubre de éste mismo año.

• https://www.facebook.com/security/advisories/cve-2019-11932

La vulnerabilidad fue descubierta por un investigador que se hace llamar ‘Awakened’, y se le  asignó el identificador CVE-2019-11932. El error está localizado en la función ‘DDGifSlurp’ localizada en el fichero ‘decoding.c’ existente en la librería ‘libpl_droidsonroids_gif , y puede reproducirse al leer un fichero ‘Gif’ especialmente manipulado. Esto quiere decir que con solo cargar la miniatura del gif es suficiente.

Fuentes.
https://faq.whatsapp.com/help/video-calling-cyber-attack

• https://awakened1712.github.io/hacking/hacking-whatsapp-gif-rce/