https://www.informationsecurity.com.tw/seminar/2024_OT/
https://www.informationsecurity.com.tw/seminar/2024_OT/

新聞

積極被利用的 libwebp關鍵零日漏洞

2023 / 10 / 02
編輯部
積極被利用的 libwebp關鍵零日漏洞
Google 日前公告 libwebp 圖像資料庫中的一個關鍵漏洞,CVE-2023-5129(CVSS分數:10分 )。目前得知CVE-2023-5129已在野外被積極利用。CVE-2023-5129被描述為根源於霍夫曼編碼演算法( Huffman coding algorithm )的問題。
 
在CVE-2023-5129被披露前,Apple、Google和Mozilla曾發布修復程式修補
CVE-2023-41064 和 CVE-2023-4863這兩個漏洞。這兩個漏洞可能導致在處理特製圖像時執行任意程式碼,並被認為與CVE-2023-5129高度相關。

相關文章: Mozilla 緊急修補 Firefox、Thunderbird 已遭用於駭侵攻擊的 0-day 漏洞
 
外媒報導,名為 BLASTPASS 的零點擊 iMessage 漏洞利用鏈中有使用CVE-2023-41064 漏洞並交互另一個漏洞 CVE-2023-41061 用來部署名為 Pegasus 的間諜軟體。目前尚不清楚其他技術細節。
 
CVE-2023-4863實際上還影響了所有其他依賴libwebp 庫處理WebP 圖像的應用程序,這表明它的影響比之前想像的更廣泛。
 
Rezillion 近期的一項分析揭露一系列廣泛使用的應用程式、程式碼庫、框架和作業系統,這些應用程式、程式碼庫、框架和作業系統都容易受到 CVE-2023-4863 的影響。
 
Rezillion表示,libwebp在圖檔尺寸和速度方面優於 JPEG 和 PNG。因此,市面上有大量的軟體、應用程式和軟體包都採用libwebp,因而擴大了攻擊面。
 
Google擴大CVE-2023-4863 的修復範圍,已將 ChromeOS 和 ChromeOS Flex納入其中,並發布版本 15572.50.0(瀏覽器版本 117.0.5938.115)。
 
本文轉載自TheHackerNews。