Перейти к содержимому
Noroxi
CVE-2019-3568· NVD / CVE Program· CNA facebook

A buffer overflow vulnerability in WhatsApp VOIP stack allowed remote code execution via specially crafted series of RTCP packets sent to a

A buffer overflow vulnerability in WhatsApp VOIP stack allowed remote code execution via specially crafted series of RTCP packets sent to a target phone number. The issue affects WhatsApp for Android prior to v2.19.134, WhatsApp Business for Android prior to v2.19.44, WhatsApp for iOS prior to v2.19.51, WhatsApp Business for iOS prior to v2.19.51, WhatsApp for Windows Phone prior to v2.18.348, and WhatsApp for Tizen prior to v2.18.15.

КритическаяCVSS 9.8 · v3.1KEVГотовый эксплойт Исправление не зафиксировано
Опубликовано
14 мая 2019 г.
Обновлено
16 июн. 2026 г.
EPSS
30,1 % · 98-й процентиль
Следить за этой CVE

Войдите, чтобы следить · Вы получите уведомление, если запись попадёт в KEV, получит эксплойт или обновится.

Инструменты для отчёта

JSON

Оценка срочности

78

На этой неделе

Не ждите следующего окна обслуживания.

CVSS
39 / 40 · 9.8 / 10
CISA KEV
30 / 30 · В списке
EPSS
9 / 30 · 30,1 %

Решение CISA SSVC

Эксплуатация
активная
Автоматизируемо
да
Техническое влияние
полное

Vulnrichment: входные данные дерева решений CISA.

Активно эксплуатируется

CISA добавило это в каталог активно эксплуатируемых уязвимостей (KEV) 19 апр. 2022 г.. Это указывает на реальные атаки, а не теорию.

Срок устранения для госорганов: 10 мая 2022 г..

Затронутые системы

ВендорПродукт
whatsappwhatsapp
whatsappwhatsapp business

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

  • whatsapp whatsappдо 2.18.15
  • whatsapp whatsappдо 2.18.348
  • whatsapp whatsappдо 2.19.51
  • whatsapp whatsappдо 2.19.134
  • whatsapp whatsapp businessдо 2.19.44
  • whatsapp whatsapp businessдо 2.19.51

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (facebook). Не зависят от анализа CPE в NVD и обычно опережают его.

  • Facebook WhatsApp Business for Android

    • 2.19.44затронута
    • unspecified и новее · до 2.19.134затронута

  • Facebook WhatsApp Business for iOS

    • 2.19.51затронута
    • unspecified и новее · до 2.19.51затронута

  • Facebook WhatsApp for Android

    • 2.19.134затронута
    • unspecified и новее · до 2.19.134затронута

  • Facebook WhatsApp for iOS

    • 2.19.51затронута
    • unspecified и новее · до 2.19.51затронута

  • Facebook WhatsApp for Tizen

    • 2.18.15затронута
    • unspecified и новее · до 2.18.15затронута

  • Facebook WhatsApp for Windows Phone

    • 2.18.348затронута
    • unspecified и новее · до 2.18.348затронута

Тот же продукт

whatsapp: все записи

Другие записи с наивысшей оценкой для того же основного продукта.

  • CVE-2019-18426A vulnerability in WhatsApp Desktop versions prior to 0.3.9309 when paired with WhatsApp for iPhone versions prior to 2.20.10 allows cross-sKEV
    82Срочно
  • CVE-2025-55177Incomplete authorization of linked device synchronization messages in WhatsApp for iOS prior to v2.25.21.73, WhatsApp Business for iOS v2.25KEV
    52В плане
  • CVE-2019-11932A double free vulnerability in the DDGifSlurp function in decoding.c in the android-gif-drawable library before version 1.2.18, as used in W
    48В плане
  • CVE-2022-36934An integer overflow in WhatsApp could result in remote code execution in an established video call.
    40В плане
  • CVE-2020-1909A use-after-free in a logging library in WhatsApp for iOS prior to v2.20.111 and WhatsApp Business for iOS prior to v2.20.111 could have res
    40В плане
  • CVE-2020-1907A stack overflow in WhatsApp for Android prior to v2.20.196.16, WhatsApp Business for Android prior to v2.20.196.12, WhatsApp for iOS prior
    40В плане

Исправление

На какую версию обновиться

Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.

Для этой записи не зафиксирована версия с исправлением. Смотрите бюллетени вендора в источниках.

Статус эксплойта

Готовый эксплойт

Известен готовый инструмент или активное использование в реальных атаках. Это должно быть высшим приоритетом.

Контекст для исследователя

Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.

Хронология

От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.

  1. Публикация
  2. CISA KEV+1070 дн.
  3. Сегодня30 сент. 2026 г.+2696 дн.
EPSS за 120 дней

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Ссылки на патчи и коммиты

Коммиты, PR и diff среди источников. Отправная точка для patch-diff и поиска вариантов; это исправления, не эксплойты.

Среди источников нет ссылок на коммит или PR.

Авторы

Все исследователи

Нашедшие, сообщившие и аналитики, названные в записи CNA. Нажмите имя, чтобы увидеть другие записи исследователя.

В записи CNA нет авторов.

Кандидаты в варианты

Тот же продукт, тот же класс уязвимости, в пределах 18 месяцев. Если патч не закрыл первопричину, родственная ошибка здесь.

Ночной расчёт связей ничего не нашёл.

Кандидаты в цепочки

Обход аутентификации и уязвимость, требующая привилегий, в одном продукте и близко по времени: вместе они могут дать путь без аутентификации.

—

Охват bug bounty

Известной публичной программы нет.

Источник: bounty-targets-data (публичные списки HackerOne, Bugcrowd, Intigriti, YesWeHack).

Технические детали

Условия атаки

  • Может быть вызвана любым, у кого есть доступ через интернет.
  • Учётная запись или пароль не требуются.
  • Действия пользователя не требуются.
  • Особые условия не требуются; воспроизводится стабильно.

В случае успеха

Конфиденциальность
высокое · данные могут быть прочитаны
Целостность
высокое · данные или конфигурация могут быть изменены
Доступность
высокое · работа сервиса может быть нарушена
Вектор атаки
Сеть
Сложность атаки
Низкая
Требуемые привилегии
Не требуются
Взаимодействие с пользователем
Не требуется
Область действия
Не изменяется
Влияние на конфиденциальность
Высокое
Влияние на целостность
Высокое
Влияние на доступность
Высокое

Класс уязвимости (CWE)

CWE-122 · Heap-based Buffer Overflow

Вектор CVSS

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

nvd-primary

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

Техники ATT&CK

—

Анализ Noroxi

Анализа Noroxi для этой записи пока нет

Мы не пишем анализ вручную для всех 385 000+ уязвимостей; это было бы нечестно. Для значимых уязвимостей с реальным влиянием наша команда описывает механизм, обнаружение и устранение.

Мы используем этот продукт, нужна помощь

Журнал изменений

Изменений отслеживаемых полей пока нет. Здесь появятся изменения оценки, KEV, зрелости эксплойта и статуса исправления.

Источники

Рекомендации вендоров и официальные записи. Ссылки на эксплойты/PoC намеренно исключены.

Все записи