Un investigador de seguridad del Proyecto Cero de Google ha encontrado varias vulnerabilidades en la mayoría de las aplicaciones de mensajería populares, que permitirían a los atacantes escuchar los alrededores del objetivo sin su consentimiento. Los errores se especificaron en la función de llamada de estas aplicaciones, donde una persona que llama puede escuchar el audio y, a veces, ver el video, antes de que se acepte la llamada.
Errores corregidos en la funcionalidad de llamadas
Natalia Silvanovichun investigador de seguridad de Google Project Zero ha descubierto varios errores lógicos en varios mensajeros instantáneos, que permitirían a un atacante husmear en el objetivo. Detectó cinco errores en siete aplicaciones de videoconferencia, que transmiten el audio/video incluso antes de que la persona que llama acepte la solicitud de llamada.
Encontré errores lógicos que permiten la transmisión de audio o video sin el consentimiento del usuario en cinco aplicaciones móviles, incluidas Signal, Duo y Facebook Messenger. https://t.co/PlB0PzLzjJ
— Natalie Silvanovich (@natashenka) 19 de enero de 2021
Esto es preocupante ya que la práctica teórica real es al revés. Es como cuando la persona que llama hace una llamada a su contacto, solo debería recibir la respuesta de audio del lado de la persona a la que llama solo después de que la persona a la que llama acepta la solicitud. Pero, observó que algunas aplicaciones permiten que la transmisión de audio ocurra incluso antes de que la persona que recibe la llamada acepte la llamada.
Ella había visto esta falla en aplicaciones como Señal, jiochat Facebook Messenger, Mocae incluso en su dúo de Google! Todos estos errores se detectaron en 2020 y se corrigieron. Esto sucede no solo en términos de audio sino también para videollamadas en algunas aplicaciones. Google Duo y Mocha transfirieron paquetes de video a la persona que llama incluso antes de que la persona a la que llama aceptara.
Ella señaló que “También es preocupante señalar que no analicé ninguna de las funciones de llamadas grupales de estas aplicaciones y que todas las vulnerabilidades informadas se encontraron en las llamadas punto a punto. Esta es un área de trabajo futuro que podría revelar problemas adicionales.”
Hablando del mensajero más popular hoy en día, WhatsApp, hay un error que bloquea la aplicación cuando el usuario acepta una llamada. Esto fue reparado después de informar. No había encontrado ninguno de esos errores en Telegram y Viber.
