Falha no WhatsApp permitia travar app com chamada de vídeo

Uma falha no WhatsApp, serviço de mensagens que pertence ao Facebook, permitia que o aplicativo travasse e fechasse subitamente se o usuário atendesse alguma chamada de vídeo que contivesse arquivos maliciosos.

A vulnerabilidade, que afetou os aplicativos do WhatsApp para os sistemas iOS e Android, foi descoberta no fim de agosto pela pesquisadora Natalie Silvanovich, do Google Project Zero, programa dedicado a achar problemas graves em serviços conectados e que podem levar a grandes violações de dados.

VEJA TAMBÉM:

• Não é mito! Invasão a WhatsApp começa com infiltrado em operadora
• Facebook pode ter multa na UE de até US$ 1,63 bilhão por ataque hacker
• Sabe a promoção falsa no WhatsApp? Golpistas faturam com ela; veja

Como a falha foi corrigida pelo Facebook em setembro nos celulares Android e no início de outubro nos iPhones, a publicação de Silvanovich no fórum do programa se tornou pública nesta terça-feira (9) — o Google Project Zero tem a política de apenas revelar descobertas após 90 dias da publicação ou caso uma solução para o erro seja implantada.

WhatsApp: como aproveitar bem seu mensageiro preferido

Clique aqui

Para comprovar que se tratava de um problema real, Silvanovich publicou um passo-a-passo de como a falha poderia ser explorada e quais artifícios foram usados. O problema estava presente apenas nas versões para Android e iOS do WhatsApp porque elas usam o Real-time Transport Protocol (RTP) para executar conferências de vídeo.

O bug era explorado quando algum arquivo RTP mal formatado era transmitido para a vítima enquanto o chat de vídeo ocorria. Isso levava ao travamento instantâneo do app. Segundo a pesquisadora, o mesmo não ocorria com o WhatsApp Web porque ele usa outro código, o WebRTC.

VEJA TAMBÉM:

• Facebook admite ataque hacker que afetou 50 milhões de contas
• Ataque ao Facebook permitiu invadir app que usa site como login
• A cada segundo, 291 dados vazam no mundo, metade do Facebook

O Facebook não respondeu imediatamente a pedidos por comentários da agência de notícias Reuters. Não está claro se a falha foi usada alguma vez em qualquer ataque antes de ser corrigida.

Isso é uma coisa grande. Apenas responder a uma chamada de um ataque poderia comprometer completamente o WhatsApp

Travis Ormandy, pesquisador do Google Project Zero

Este ano, o Facebook vem sofrendo com uma série de problemas relacionados à segurança e à privacidade. Na semana passada, a empresa revelou que uma falha de segurança afetou 50 milhões de contas.