Google libwebp 代码执行漏洞(CVE-2023-5129)安全风险通告
Google libwebp 代码执行漏洞(CVE-2023-5129)安全风险通告
奇安信 CERT 2023-09-27 17:59
●
点击↑蓝字关注我们，获取更多安全风险通告
|
漏洞概述 |
|||
|
漏洞名称 |
Google libwebp 代码执行漏洞 |
||
|
漏洞编号 |
QVD-2023-22832、CVE-2023-5129 |
||
|
公开时间 |
2023-09-25 |
影响对象数量级 |
亿级 |
|
奇安信评级 |
高危 |
CVSS 3.1分数 |
10 |
|
威胁类型 |
代码执行 |
利用可能性 |
高 |
|
POC状态 |
已公开 |
在野利用状态 |
已发现 |
|
EXP状态 |
未公开 |
技术细节状态 |
已公开 |
|
危害描述：成功利用该漏洞可以在目标系统上执行任意代码。 |
|||
01
漏洞详情
>
>
>
>
影响组件
Libwebp是一个开源的用于编码和解码WebP图像格式的C/C++库。它提供了一组函数和工具，用于将图像数据编码为WebP格式，并将WebP格式的图像解码为原始图像数据。Libwebp库可以作为其他程序的依赖库，用于添加WebP图像格式的支持。Libwebp应用范围非常广泛，被使用到各个软件上面。
>
>
>
>
影响版本漏洞描述
近日，奇安信CERT监测到Google libwebp代码执行漏洞(CVE-2023-5129)：
该漏洞是由于BuildHuffmanTable() 填充二级表时，可能会出现写入越界，成功利用该漏洞可以在目标系统执行任意代码。
鉴于该漏洞已存在在野利用且影响范围极大，建议客户尽快做好自查及防护。
02
影响范围
>
>
>
>
影响版本
libwebp < 1.3.2
>
>
>
>
其他受影响组件
包含libwebp库的主流浏览器、Linux操作系统以及大量开源软件。
03
处置建议
>
>
>
>
安全更新
目前官方已发布安全修复更新，受影响用户可以更新到libwebp 1.3.2及以上版本
。
04
参考资料
[1]https://storage.googleapis.com/downloads.webmproject.org/releases/webp/index.html
[2]https://github.com/advisories/GHSA-hhrh-69hc-fgg7
05
时间线
2023年9月27日，奇安信 CERT发布安全风险通告。
06
漏洞情报服务
奇安信ALPHA威胁分析平台已支持漏洞情报订阅服务：
奇安信 CERT
致力于
第一时间为企业级用户提供权威漏洞情报和有效
解决方案。
点击↓阅读原文，到
ALHA威胁分析平台
订阅更多漏洞信息。