Segnaliamo un articolo relativo ad una grave vulnerabilità (CVE-2019-11932) che colpisce l’applicazione Whatsapp, indirettamente, attraverso una libreria di gestione immagini utilizzata dalla App principale.

La patch, ora risolta, è rimasta “scoperta” (unpatched) per 3 mesi da quando è stata segnalata ufficialmente e poteva permettere l’accesso a messaggi e contenuti del telefono a malintenzionati che facessero uso di tale bug.

Qui è riportato l’articolo originale di Hacker News, di cui per comodità riportiamo a grandi linee l’effetto, traducendolo dall’inglese per favorirne la diffusione.

La vulnerabilità sfruttava un errore di allocazione memoria (double-free memory corruption bug), per cui l’hacker prendeva il controllo della shell del dispositivo vittima, entrando in possesso di privilegi che permettevano di leggere files di messaggi e numeri di telefono/dati presenti sullo stesso.

Insomma tutto quello a cui poteva accedere Whatsapp era disponibile all’hacker (inclusi i file di database “criptati” per gli altri ma non per Whatsapp che ne è l’autore). Quindi tutto era disponibile, dai dati dei contatti, fino alle chat tenute con essi.

Le versioni di whatsapp colpite sono quelle precedenti la 2.19.230, che girano su Android 8.1 o 9.0.

“Fortunatamente” (per così dire) le versioni precedenti di Android andavano in crash durante il caricamento del file script malevolo e quindi non erano colpite dallo stesso, che non riusciva a caricarsi.

Le versioni di Whatsapp per iOs non sono state minimamente toccate, non utilizzando tale libreria.

La raccomandazione è di aggiornare il prima possibile Whatsapp (e verificare che non vi siano corruzioni di sistema in atto)

Se volete restare aggiornati potete iscrivervi alla nostra newsletter o seguirci sui canali linkedin e facebook