安全公告編號(hào):CNTA-2023-0016
2023年9月27日，國家信息安全漏洞共享平臺(tái)（CNVD）收錄了libwebp開源庫遠(yuǎn)程代碼執(zhí)行漏洞（CNVD-2023-73247，對(duì)應(yīng)CVE-2023-5129、CVE-2023-4863）。攻擊者利用該漏洞可以在目標(biāo)主機(jī)設(shè)備執(zhí)行任意代碼或敏感信息未授權(quán)訪問。目前，該漏洞的利用細(xì)節(jié)和測試代碼已公開，開源庫廠商已發(fā)布新版本完成修復(fù)。CNVD建議受漏洞影響的產(chǎn)品（服務(wù)）廠商、信息系統(tǒng)運(yùn)營者和用戶盡快進(jìn)行修復(fù)。
一、漏洞情況分析
WebP是Google公司開發(fā)的一種圖像格式，支持網(wǎng)絡(luò)圖像的有損和無損壓縮，其壓縮效果和速度較PNG和JPEG格式具有一定優(yōu)勢。libwebp是實(shí)現(xiàn)WebP圖像格式編解碼的C/C++開源庫。libwebp通過提供功能函數(shù)和系列工具，可將圖像數(shù)據(jù)編碼為WebP格式，以及將WebP格式圖像進(jìn)行解碼還原。libwebp也可作為依賴庫，實(shí)現(xiàn)程序?qū)ebP圖像格式的支持。libwebp在容器鏡像、框架、瀏覽器、Linux操作系統(tǒng)和應(yīng)用程序等具有較多應(yīng)用。
近日，Google公司發(fā)布安全公告修復(fù)了libwebp開源庫遠(yuǎn)程代碼執(zhí)行漏洞。libwebp的BuildHuffmanTable函數(shù)在使用霍夫曼算法（Huffman）對(duì)Webp圖片進(jìn)行解碼時(shí)，由于缺少必要的輸入驗(yàn)證，存在內(nèi)存越界寫入缺陷。未經(jīng)身份認(rèn)證的攻擊者通過制作惡意頁面或文件，誘導(dǎo)用戶瀏覽訪問執(zhí)行越界內(nèi)存寫入，實(shí)現(xiàn)對(duì)目標(biāo)主機(jī)設(shè)備的遠(yuǎn)程任意代碼執(zhí)行或者敏感信息未授權(quán)訪問。該漏洞在某些環(huán)境條件下可被實(shí)現(xiàn)零點(diǎn)擊利用（0-Click）。
CNVD對(duì)該漏洞的綜合評(píng)級(jí)為“高危”。
二、漏洞影響范圍
該漏洞影響的產(chǎn)品和版本為：
使用libwebp（低于1.3.2版本）處理WebP格式圖像的框架、軟硬件產(chǎn)品（服務(wù)）和信息系統(tǒng)。
目前，已知受該漏洞影響的產(chǎn)品和框架包括：
Google Chrome for Mac/Linux < 116.0.5845.187
Google Chrome for Windows < 116.0.5845.187/.188
Mozilla Firefox < 117.0.1
Microsoft Edge < 109.0.1518.140, 116.0.1938.81, 117.0.2045.31
Electron < 22.3.24, 24.8.3, 25.8.1, 26.2.1, 27.0.0-beta.2
三、漏洞處置建議
目前，Google公司及受影響的產(chǎn)品（服務(wù)）廠商已陸續(xù)發(fā)布新版本修復(fù)該漏洞。CNVD建議受漏洞影響的產(chǎn)品（服務(wù)）廠商、信息系統(tǒng)運(yùn)營者和用戶盡快進(jìn)行自查，及時(shí)進(jìn)行版本更新和漏洞修復(fù)：
https://storage.googleapis.com/downloads.webmproject.org/releases/webp/index.html
https://chromereleases.googleblog.com/2023/09/stable-channel-update-for-desktop_11.html
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-4863
https://www.mozilla.org/en-US/security/advisories/mfsa2023-40/
https://github.com/electron/electron/pull/39828
參考鏈接：
https://support.apple.com/en-us/HT213905
https://chromereleases.googleblog.com/2023/09/stable-channel-update-for-desktop_11.html
https://www.accessnow.org/publication/hacking-meduza-pegasus-spyware-used-to-target-putins-critic/
https://stackdiary.com/heap-buffer-overflow-in-libwebp-cve-2023-5129/
https://chromium.googlesource.com/webm/libwebp/+/2af26267cdfcb63a88e5c74a85927a12d6ca1d76
https://chromium.googlesource.com/webm/libwebp/+/902bc9190331343b2017211debcec8d2ab87e17a