Facebook WhatsApp 资源管理错误漏洞

CVE编号

CVE-2019-11932

利用情况

暂无

补丁情况

官方补丁

披露时间

2019-10-04

漏洞描述

Facebook WhatsApp是美国Facebook公司的一套利用网络传送短信的移动应用程序。该应用程序通过智能手机中的联络人信息，查找使用该软件的联络人传送文字、图片等。 基于Android平台的Facebook WhatsApp 2.19.244之前版本中的libpl_droidsonroids_gif 1.2.18之前版本的decoding.c文件的DDGifSlurp函数存在资源管理错误漏洞。远程攻击者可利用该漏洞执行任意代码或造成拒绝服务。

解决建议

目前厂商已发布升级补丁以修复漏洞，详情请关注厂商主页：
https://www.whatsapp.com

参考链接
http://packetstormsecurity.com/files/154867/Whatsapp-2.19.216-Remote-Code-Exe...
http://packetstormsecurity.com/files/158306/WhatsApp-android-gif-drawable-Dou...
http://seclists.org/fulldisclosure/2019/Nov/27
https://awakened1712.github.io/hacking/hacking-whatsapp-gif-rce/
https://gist.github.com/wdormann/874198c1bd29c7dd2157d9fc1d858263
https://github.com/koral--/android-gif-drawable/commit/cc5b4f8e43463995a84efd...
https://github.com/koral--/android-gif-drawable/pull/673
https://github.com/koral--/android-gif-drawable/pull/673/commits/4944c92761e0...
https://www.facebook.com/security/advisories/cve-2019-11932

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	android-gif-drawable_project	android-gif-drawable	*		Up to (excluding) 1.2.18
	运行在以下环境
	应用	whatsapp	whatsapp	*		Up to (excluding) 2.19.244

阿里云评分 5.1

• 攻击路径 远程
• 攻击复杂度 复杂
• 权限要求 无需权限
• 影响范围 越权影响
• EXP成熟度 未验证
• 补丁情况 官方补丁
• 数据保密性 数据泄露
• 数据完整性 无影响
• 服务器危害 无影响
• 全网数量 N/A

CWE-ID 漏洞类型 CWE-415 双重释放