Часть 1
WhatsApp самый опасный мессенджер в мире!
Корпорация зла Meta*, мало-того, требует для регистрации ваш номер телефона и доступ к контактам, так и таит в себе кучу уязвимостей, которые могут нарушить вашу конфиденциальность и приватность!!!
Сегодня мы рассмотрим все CVE для данного мессенджера до 2020 года включительно, и даже учитывая факт их исправности, мы не рекомендуем пользоваться данным мессенджером.
Начнём с 2025 года:
Неполная авторизация сообщений синхронизации связанных устройств в WhatsApp для iOS до версии 2.25.21.73, WhatsApp Business для iOS версии 2.25.21.78 и WhatsApp для Mac версии 2.25.21.78 могла позволить стороннему пользователю инициировать обработку контента с произвольного URL-адреса на целевом устройстве. Мы считаем, что эта уязвимость в сочетании с уязвимостью на уровне ОС на платформах Apple (CVE-2025-43300) могла быть использована для сложной атаки на конкретных целевых пользователей.
CVE-2025-30401 (Апрель)
Проблема спуфинга в WhatsApp для Windows до версии 2.2450.6 приводила к отображению вложений в соответствии с их MIME-типом, но выбор обработчика открытия файлов осуществлялся на основе расширения имени файла. Вредоносное несоответствие могло привести к тому, что получатель непреднамеренно выполнил произвольный код вместо просмотра вложения при ручном открытии в WhatsApp.
2023 год:
CVE-2023-38538
Состояние гонки в подсистеме событий привело к проблеме использования кучи после освобождения в установленных аудио-/видеовызовах, что с очень малой вероятностью могло привести к завершению работы приложения или непредвиденному потоку управления.
CVE-2023-38537
Состояние гонки в сетевой транспортной подсистеме привело к проблеме использования кучи после освобождения в установленных или неотключенных входящих аудио-/видеовызовах, что с очень малой вероятностью могло привести к завершению работы приложения или неожиданному потоку управления.
2022 год:
CVE-2022-36934 (Сентябрь)
CVE-2022-27492 (Сентябрь)
Целочисленное переполнение в WhatsApp для Android до версии 2.22.16.12, Business для Android до версии 2.22.16.12, iOS до версии 2.22.16.12, Business для iOS до версии 2.22.16.12 может привести к удаленному выполнению кода во время установленного видеозвонка.
Целочисленное переполнение в WhatsApp для Android до версии 2.22.16.2 и WhatsApp для iOS версии 2.22.15.9 могло привести к удаленному выполнению кода при получении созданного видеофайла.CVE-2021-24043 (Февраль)
Отсутствующая проверка границ в коде анализа флага RTCP до версий WhatsApp для Android v2.21.23.2, WhatsApp Business для Android v2.21.23.2, WhatsApp для iOS v2.21.230.6, WhatsApp Business для iOS 2.21.230.7 и WhatsApp Desktop v2.2145.0 могла привести к чтению кучи за пределами допустимого диапазона, если пользователь отправлял некорректный пакет RTCP во время установленного вызова.
CVE-2021-24042 (Январь)
Логика вызовов WhatsApp для Android до версии 2.21.23, WhatsApp Business для Android до версии 2.21.23, WhatsApp для iOS до версии 2.21.230, WhatsApp Business для iOS до версии 2.21.230, WhatsApp для KaiOS до версии 2.2143, WhatsApp Desktop до версии 2.2146 могла допустить запись за пределами допустимого диапазона, если пользователь совершал звонок 1:1 злоумышленнику.
2021 год:
CVE-2021-24041 (Декабрь)
Отсутствие проверки границ в коде размытия изображений до версий WhatsApp для Android 2.21.22.7 и WhatsApp Business для Android 2.21.22.7 могло привести к записи данных за пределами допустимого диапазона, если пользователь отправлял вредоносное изображение.
CVE-2021-24035 (Июнь)
Отсутствие проверки имени файла при распаковке архивов до версий WhatsApp для Android 2.21.8.13 и WhatsApp Business для Android 2.21.8.13 могло привести к атакам обхода пути, которые перезаписывают файлы WhatsApp.
CVE-2021-24027 (Апрель)
*Корпорация зла Meta признана экстремисской организацией на територии Российской Федерации
Продолжение списка уязвимостей во второй части⬇️