CVE-2019-3568

Falha de buffer overflow na pilha de VOIP do WhatsApp (processamento de pacotes RTCP) que permitia execução remota de código apenas por chamada de voz/vídeo para o número da vítima — sem qualquer interação do usuário, nem atendimento da chamada. Ganhou notoriedade porque foi usada em ataques reais atribuídos ao spyware Pegasus (NSO Group) contra advogados de direitos humanos e jornalistas antes da correção, e está no catálogo KEV da CISA com exploração confirmada.

A vulnerabilidade (CWE-122, heap buffer overflow) está na implementação do stack VOIP do WhatsApp, no código que processa pacotes RTCP (Real-time Transport Control Protocol) recebidos durante uma chamada. O RTCP é usado para controle e estatísticas de sessões de mídia em tempo real (VoIP/videochamada), e o parser dessas mensagens não validava corretamente o tamanho ou estrutura de campos antes de copiá-los para um buffer de tamanho fixo na memória heap.

Um atacante que controla o conteúdo de uma série específica de pacotes RTCP enviados ao dispositivo alvo pode fazer com que dados excedam os limites do buffer alocado, corrompendo memória adjacente. Como a chamada VOIP do WhatsApp é estabelecida e processa esses pacotes antes mesmo de o usuário atender — o app precisa negociar e sinalizar a chamada para exibi-la na tela —, o processamento malicioso ocorre em background, sem qualquer ação da vítima (UI:N no CVSS).

A superfície de ataque é puramente remota: basta o número de telefone da vítima e a capacidade de originar uma chamada VOIP através do protocolo do WhatsApp, entregando os pacotes RTCP malformados. Não há necessidade de autenticação no sentido tradicional (a própria chamada é o vetor), nem de contato prévio aceito ou lista de contatos compartilhada.

O vetor de exploração documentado publicamente e citado em reportagens investigativas é uma chamada VoIP/vídeo feita através do WhatsApp para o número da vítima, contendo uma sequência de pacotes RTCP forjados para disparar o overflow. A chamada nem precisa ser atendida — em muitos casos relatados, o histórico de chamada perdida sequer aparecia de forma óbvia, e havia técnicas para apagar o registro da chamada logo após a exploração.

A exploração foi associada por pesquisadores e pela imprensa ao spyware Pegasus, do grupo NSO, usado contra pelo menos um advogado de direitos humanos no Reino Unido e outros alvos de alto perfil (jornalistas, ativistas) antes da divulgação pública em maio de 2019. O Facebook (então detentor do WhatsApp) confirmou a falha e sua exploração, mas não publicou uma análise técnica profunda dos detalhes do overflow, o que é consistente com a política do fornecedor de não detalhar mecanismos de RCE em advisories de apps de mensagens.

A CISA inclui a CVE no catálogo KEV (adicionada em 2022, com exploração confirmada), reforçando que o risco não é teórico. Como o app é fechado e a exploração ocorre inteiramente dentro do protocolo proprietário de sinalização de chamada, não há PoC pública funcional amplamente distribuída — o que eleva a barreira de reprodução por atores menos sofisticados, mas não elimina o risco para quem ainda roda versões vulneráveis, já que atores com capacidade (grupos de vigilância comercial) já demonstraram a exploração de forma operacional.

A mitigação real é atualizar o aplicativo. O fornecedor lista como corrigidas: WhatsApp para Android a partir da v2.19.134; WhatsApp Business para Android a partir da v2.19.44; WhatsApp para iOS e WhatsApp Business para iOS a partir da v2.19.51; WhatsApp para Windows Phone a partir da v2.18.348; e WhatsApp para Tizen a partir da v2.18.15. Essas versões já são de 2018-2019 e qualquer instalação atual do app oficial, mantida atualizada pelas lojas, está fora da janela de exposição há anos.

Não existe paliativo de configuração — não há flag para desativar chamadas VOIP no WhatsApp que sirva como mitigação suportada, e bloquear a porta/protocolo usado pelas chamadas do WhatsApp no firewall corporativo é inviável na prática (tráfego cifrado e multiplexado com o restante do app) e quebraria a funcionalidade de chamadas por completo. A única defesa efetiva além da atualização é impedir o uso de versões antigas do app — via MDM/EMM corporativo que force atualização mínima de versão, ou remoção do app em dispositivos que não podem ser atualizados (ex.: aparelhos Windows Phone e Tizen, hoje sem suporte do fabricante).

O mito a descartar: como a falha exige apenas uma chamada, alguns assumem que "não atender" ou "bloquear o número" resolve — não resolve, porque o processamento vulnerável do RTCP ocorre antes de qualquer decisão do usuário sobre atender ou rejeitar.

Não há um sinal de rede ou log confiável e acessível ao usuário final ou a um SOC corporativo tradicional para detectar a exploração: o tráfego de chamada VOIP do WhatsApp é criptografado ponta-a-ponta e o processamento malicioso do RTCP ocorre dentro do app, sem gerar evento visível de sistema operacional na maioria dos casos. Em investigações forenses de casos reais associados a spyware, indicadores encontrados foram artefatos no dispositivo comprometido (processos, arquivos, tráfego de exfiltração do próprio spyware pós-infecção) e não da exploração em si — ou seja, a detecção prática depende de análise forense de dispositivo (memória, sistema de arquivos) feita após suspeita de comprometimento, não de assinatura de rede.

Registros de chamada perdida ou muito curta de números desconhecidos no WhatsApp são um indício fraco e não específico, já que a técnica de exploração relatada em campanhas reais incluía a remoção do registro da chamada do log do app.