شرکت گوگل یک آسیب پذیری امنیتی libwebp با شناسه CVE-2023-5129 را به عنوان آسیب‌پذیری روز صفر اعلام کرد که در حملات مختلفی مورد بهره‌برداری قرار گرفته است. این شرکت در ابتدا آسیب-پذیری مذکور را به جای اختصاص دادن به کتابخانه منبع باز libwebp که جهت رمزگذاری و رمزگشایی تصاویر در قالب WebP استفاده می‌شود، به‌عنوان یک ضعف کروم با‌عنوان CVE-2023-4863 افشا کرد.
جزئیات آسیب‌پذیری
آسیب‌پذیری CVE-2023-5129 با شدت بحرانی 10 ارزیابی و به عنوان یک نقص امنیتی مهم در libwebp شناسایی شده است، همچنین پیامدهای قابل توجهی برای پروژه‌های دیگر با استفاده از کتابخانه منبع باز libwebp در پیش دارد.
این آسیب‌پذیری شامل یک سرریز بافر پشته در WebP است و مهاجم را قادر می‌سازد تا نوشته‌های حافظه خارج از محدوده را، با استفاده از صفحات HTML ساخته شده به‌طور مخرب اجرا کند. این نوع بهره‌برداری می‌تواند عواقب شدیدی همچون اجرای کد و دسترسی غیرمجاز به اطلاعات حساس داشته باشد.
مشکل اساسی CVE-2023-5129 اجرای ناقص الگوریتم کدگذاری هافمن است. به عبارت ساده‌تر، این اشکال منجر به آسیب‌پذیری شده و شرایطی برای مهاجم فراهم می‌آرود تا سرریز بافر پشته‌ای را راه‌اندازی کند. این سرریز، به وی اجازه می‌دهد تا کدهای غیرمجاز را روی سیستم‌های آسیب‌پذیر اجرا کند. آسیب‌پذیری مذکور به قدری قابل توجه است که با امتیاز CVSS 10.0 ارزیابی شده است که نشان‌دهنده ماهیت بحرانی آن است. از این رو، پتانسیل بالایی جهت فراهم آوردن مخاطراتی همچون راه‌اندازی سرریز بافر پشته‌ای، اجرای کد دلخواه، به خطر انداختن سیستم‌ها، نقض داده‌ها، اختلال در سرویس‌ها و افزایش دسترسی توسط مهاجمان را در پی خواهد داشت. این عامل، بر اهمیت حیاتی وصله سریع و رسیدگی به چنین آسیب‌پذیری‌هایی برای محافظت از محیط‌های دیجیتال در برابر تهدیدات احتمالی تأکید می‌کند.
محصولات تحت تأثیر
آسیب‌پذیری با شناسه CVE-2023-5129 بر نسخه¬های Google Chrome قبل از 116,0,5845,187 و نسخه‌های 0.5.0 تا 1,3,1 Libwebp تأثیر می‌گذارد.
توصیه‌های امنیتی
برای مقابله با این نقص امنیتی مهم اعمال آخرین به‌روزرسانی‌های امنیتی بهترین روش مقابله می‌باشد.
منابع خبر:
[1] https://thehackernews.com/2023/09/new-libwebp-vulnerability-under-active.html
[2]https://www.bleepingcomputer.com/news/security/google-assigns-new-maximum-rated-cve-to-libwebp-bug-…
[3] https://dataconomy.com/2023/09/28/google-cve-2023-5129-libwebp
- 95