安全公告編號(hào):CNTA-2023-0016

2023年9月27日,，國(guó)家信息安全漏洞共享平臺(tái)（CNVD）收錄了libwebp開源庫(kù)遠(yuǎn)程代碼執(zhí)行漏洞（CNVD-2023-73247,，對(duì)應(yīng)CVE-2023-5129,、CVE-2023-4863）,。攻擊者利用該漏洞可以在目標(biāo)主機(jī)設(shè)備執(zhí)行任意代碼或敏感信息未授權(quán)訪問(wèn),。目前,，該漏洞的利用細(xì)節(jié)和測(cè)試代碼已公開,，開源庫(kù)廠商已發(fā)布新版本完成修復(fù),。CNVD建議受漏洞影響的產(chǎn)品（服務(wù)）廠商、信息系統(tǒng)運(yùn)營(yíng)者和用戶盡快進(jìn)行修復(fù),。

一,、漏洞情況分析

WebP是Google公司開發(fā)的一種圖像格式，支持網(wǎng)絡(luò)圖像的有損和無(wú)損壓縮,，其壓縮效果和速度較PNG和JPEG格式具有一定優(yōu)勢(shì),。libwebp是實(shí)現(xiàn)WebP圖像格式編解碼的C/C++開源庫(kù)。libwebp通過(guò)提供功能函數(shù)和系列工具,，可將圖像數(shù)據(jù)編碼為WebP格式,，以及將WebP格式圖像進(jìn)行解碼還原。libwebp也可作為依賴庫(kù),，實(shí)現(xiàn)程序?qū)ebP圖像格式的支持,。libwebp在容器鏡像,、框架、瀏覽器,、Linux操作系統(tǒng)和應(yīng)用程序等具有較多應(yīng)用,。

近日，Google公司發(fā)布安全公告修復(fù)了libwebp開源庫(kù)遠(yuǎn)程代碼執(zhí)行漏洞,。libwebp的BuildHuffmanTable函數(shù)在使用霍夫曼算法（Huffman）對(duì)Webp圖片進(jìn)行解碼時(shí),，由于缺少必要的輸入驗(yàn)證，存在內(nèi)存越界寫入缺陷,。未經(jīng)身份認(rèn)證的攻擊者通過(guò)制作惡意頁(yè)面或文件,，誘導(dǎo)用戶瀏覽訪問(wèn)執(zhí)行越界內(nèi)存寫入，實(shí)現(xiàn)對(duì)目標(biāo)主機(jī)設(shè)備的遠(yuǎn)程任意代碼執(zhí)行或者敏感信息未授權(quán)訪問(wèn),。該漏洞在某些環(huán)境條件下可被實(shí)現(xiàn)零點(diǎn)擊利用（0-Click）,。

CNVD對(duì)該漏洞的綜合評(píng)級(jí)為“高危”,。

二,、漏洞影響范圍

該漏洞影響的產(chǎn)品和版本為：

使用libwebp（低于1.3.2版本）處理WebP格式圖像的框架、軟硬件產(chǎn)品（服務(wù)）和信息系統(tǒng),。

目前,，已知受該漏洞影響的產(chǎn)品和框架包括：

Google Chrome for Mac/Linux < 116.0.5845.187

Google Chrome for Windows < 116.0.5845.187/.188

Mozilla Firefox < 117.0.1

Microsoft Edge < 109.0.1518.140, 116.0.1938.81, 117.0.2045.31

Electron < 22.3.24, 24.8.3, 25.8.1, 26.2.1, 27.0.0-beta.2

三、漏洞處置建議

目前,，Google公司及受影響的產(chǎn)品（服務(wù)）廠商已陸續(xù)發(fā)布新版本修復(fù)該漏洞,。CNVD建議受漏洞影響的產(chǎn)品（服務(wù)）廠商、信息系統(tǒng)運(yùn)營(yíng)者和用戶盡快進(jìn)行自查,，及時(shí)進(jìn)行版本更新和漏洞修復(fù),。