最近の脆弱性 › CVE-2019-3568
Meta Platforms WhatsApp のバッファオーバーフローの脆弱性（CVE-2019-3568）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2019-3568 |
|---|---|
| 製品 | Meta Platforms WhatsApp |
| 深刻度（CVSS） | 9.8 緊急CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2022-04-19 |
| 米国政府機関の対応期限 | 2022-05-10 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-122 |
何が起きた
WhatsApp の音声通話の仕組み（VOIP スタック）に、バッファオーバーフロー（決められた大きさを超えるデータを書き込んでしまう不具合）の弱点が見つかりました。攻撃者が、細工した一連の RTCP パケットを相手の電話番号あてに送ることで、遠くからコードを実行できました。CISA は、この弱点が実際の攻撃に悪用されたことを確認しています。NVD によると、ネットワーク経由で、ログインなどの権限も被害者の操作も必要なく悪用できます。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Android 版 WhatsApp の v2.19.134 より前、Android 版 WhatsApp Business の v2.19.44 より前、iOS 版 WhatsApp と WhatsApp Business の v2.19.51 より前、Windows Phone 版の v2.18.348 より前、Tizen 版の v2.18.15 より前が影響を受けます。
何をすればいい
WhatsApp のアプリを最新版に更新し、上に書いた各バージョン以降になっているか確認してください。たとえば Android 版は v2.19.134 以降、iOS 版は v2.19.51 以降です。詳しくは Meta Platforms（WhatsApp）の公式の案内を確認してください。
やることチェックリスト
- WhatsApp を最新版に更新する
- Android 版を v2.19.134 以降にする
- iOS 版を v2.19.51 以降にする
用語メモ
- バッファオーバーフロー
- 決められた大きさの入れ物に、それを超えるデータを書き込んでしまう不具合で、乗っ取りの原因になることがあります。
- VOIP
- インターネットを使って音声通話をする技術のことです。
- RTCP
- 音声や映像の通話で、通信の状態などを知らせ合うための決まりごとです。
元データ（英語・CISA KEV より）
WhatsApp VOIP Stack Buffer Overflow Vulnerability
概要
A buffer overflow vulnerability in WhatsApp VOIP stack allowed remote code execution via specially crafted series of RTCP packets sent to a target phone number.
推奨対応
Apply updates per vendor instructions.