Vulnerabilidad en Messenger permite a los hackers escucharte antes de contestar una llamada
Facebook ha corregido un error en su aplicación Messenger para Android, ampliamente instalada. La vulnerabilidad podría haber permitido a un atacante remoto llamar a objetivos desprevenidos y escucharlos incluso antes de que contestaran la llamada de audio.
La vulnerabilidad fue descubierta y reportada a Facebook por Natalie Silvanovich del equipo de búsqueda de errores Project Zero de Google el mes pasado. Ocurrió específicamente el 6 de octubre con un plazo de 90 días y afecta la versión 284.0.0.16.119 (y anteriores) de Facebook Messenger para Android.
En pocas palabras, la vulnerabilidad podría haber otorgado a un atacante que inició sesión en la aplicación iniciar una llamada y enviar un mensaje. Enviaría un mensaje especialmente diseñado a un objetivo que inició sesión tanto en la aplicación como en otro cliente de Messenger, como el navegador web.
Escenario
“Bastaría entonces con desencadenar un escenario en el que, mientras que el dispositivo esté sonando, la persona que llama iniciaría la recepción de audio. También podría ser hasta que la persona que está siendo llamada conteste o la llamada se termina”
Dan Gurfinkel – Gerente de Ingeniería de Seguridad de Facebook
Según un informe técnico de Silvanovich, la vulnerabilidad reside en el Protocolo de descripción de sesión (SDP) de WebRTC. Este define un formato estandarizado para el intercambio de medios de transmisión entre dos puntos finales. Esto permite a un atacante enviar un tipo especial de mensaje conocido como ” SdpUpdate”. SdpUpdate haría que la llamada se conectara al dispositivo de la persona que llama antes de ser respondida.
Las llamadas de audio y video a través de WebRTC generalmente no transmiten audio hasta que el destinatario ha hecho clic en el botón aceptar. No obstante, si este mensaje “SdpUpdate” se envía al otro dispositivo mientras está sonando, “hará que comience a transmitir audio inmediatamente. Esto podría permitir a un atacante monitorear el entorno de la persona a la que se llama”.
