Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en la lógica de llamada de múltiples versiones de WhatsApp (CVE-2021-24042)

Gravedad CVSS v3.1:
CRÍTICA
Tipo:
CWE-122 Desbordamiento de búfer basado en memoria dinámica (Heap)
Fecha de publicación:
04/01/2022
Última modificación:
22/05/2025

Descripción

La lógica de llamada de WhatsApp para Android versiones anteriores a 2.21.23, WhatsApp Business para Android versiones anteriores a 2.21.23, WhatsApp para iOS versiones anteriores a 2.21.230, WhatsApp Business para iOS versiones anteriores a 2.21.230, WhatsApp para KaiOS versiones anteriores a 2.2143, WhatsApp Desktop versiones anteriores a 2.2146, podría haber permitido una escritura fuera de límites si un usuario realiza una llamada 1:1 a un actor malicioso

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:whatsapp:whatsapp:*:*:*:*:*:android:-:* 2.21.23 (excluyendo)
cpe:2.3:a:whatsapp:whatsapp:*:*:*:*:business:android:*:* 2.21.23 (excluyendo)
cpe:2.3:a:whatsapp:whatsapp:*:*:*:*:*:iphone_os:-:* 2.21.230 (excluyendo)
cpe:2.3:a:whatsapp:whatsapp:*:*:*:*:business:iphone_os:-:* 2.21.230 (excluyendo)
cpe:2.3:a:whatsapp:whatsapp:*:*:*:*:*:kaios:*:* 2.2143 (excluyendo)
cpe:2.3:a:whatsapp:whatsapp:*:*:*:*:desktop:-:*:* 2.2146 (excluyendo)