CVE-2023-4863: una guida completa

CVE-2023-4863 è una vulnerabilità significativa scoperta nel 2023, che ha fatto notizia e ha sollevato preoccupazioni in tutta la comunità tecnologica.

Che cos'è CVE-2023-4863?

CVE-2023-4863 si riferisce a una vulnerabilità critica di overflow del buffer di heap rilevata nel libwebp pacchetto, ampiamente utilizzato per codificare e decodificare immagini WebP. Questa vulnerabilità consente a un programma di scrivere dati oltre i limiti allocati in un buffer sull'heap, causando potenzialmente l'accesso o il controllo non autorizzati del sistema. Il problema risiede nel codice che crea tabelle di ricerca per gli alberi di Huffman nei file WebP, dove un file pericoloso può causare la scrittura dei dati oltre lo spazio allocato del buffer. Questa falla apre la porta a potenziali attacchi di tipo denial of service o di esecuzione di codice in modalità remota

Chi è interessato dal CVE-2023-4863?

L'impatto di CVE-2023-4863 è esteso e interessa un'ampia gamma di software e applicazioni che si basano su libwebp pacchetto. Ciò include non solo le applicazioni basate su Chromium, ma anche una varietà di altri sistemi che utilizzano libwebp per la funzionalità del codec WebP. L'ampia adozione di questo pacchetto efficiente significa che un gran numero di sistemi, dai singoli utenti alle grandi organizzazioni, sono a rischio.

Misure per mitigare i rischi CVE-2023-4863

Per proteggersi dalle minacce poste da CVE-2023-4863, è fondamentale aggiornare tutto il software pertinente. Gli aggiornamenti principali includono:

• Google Chrome: Versioni 116.0.5845.187/.188 per Mac, Linux e Windows.
• Mozilla Firefox: versioni 117.0.1, Firefox ESR 115.2.1, Firefox ESR 102.15.1, Thunderbird 102.15.1 e Thunderbird 115.2.2.
• Microsoft Edge: ultima versione basata su Chromium.
• Browser coraggioso: Versione 1.57.64 (Chromium: 116.0.5845.188).

Oltre a questi aggiornamenti del browser, le organizzazioni dovrebbero sfruttare Software Bill of Materials (SBOM) per identificare e aggiornare eventuali istanze dei vulnerabili libwebp pacchetto all'interno dei loro sistemi.

Conclusione

Il CVE-2023-4863 serve come promemoria fondamentale dell'importanza della vigilanza sulla sicurezza informatica. Gli aggiornamenti regolari del sistema, il rispetto degli avvisi di sicurezza e l'azione collaborativa in tutta la comunità tecnologica sono essenziali per mitigare tali vulnerabilità. Rimanendo informati e proattivi, possiamo rafforzare collettivamente le nostre difese contro queste minacce informatiche in evoluzione.

Come viene sfruttata CVE-2023-4863

La falla è un heap buffer overflow nel decoder lossless (VP8L) di libwebp, nel codice che costruisce le tabelle di Huffman durante il parsing di un'immagine. Un file WebP appositamente creato può indurre il decoder ad allocare un buffer troppo piccolo e a scrivere oltre la sua fine, corrompendo la memoria heap adiacente in un modo che un attaccante può trasformare in esecuzione di codice. Poiché il decoder viene eseguito automaticamente ogni volta che un'immagine viene visualizzata, il semplice rendering di un'immagine dannosa — in una scheda del browser, in un messaggio di chat o nell'anteprima di una email — può bastare a innescare il bug, rendendolo un realistico vettore zero-click. La vulnerabilità è stata sfruttata in the wild prima del rilascio delle patch: è legata alla catena di exploit BLASTPASS per iMessage segnalata da Citizen Lab e Apple a settembre 2023, e CISA l'ha inserita nel catalogo delle Known Exploited Vulnerabilities con una scadenza vincolante di remediation per le agenzie federali statunitensi.

Perché la portata va ben oltre Chrome

CVE-2023-4863 è stata pubblicata inizialmente come vulnerabilità di Google Chrome, ma il difetto risiede in libwebp stessa — la libreria WebP di riferimento inclusa in migliaia di altri prodotti. Tutto ciò che decodifica WebP con una copia vulnerabile è esposto: Firefox e Thunderbird, Microsoft Edge, le app desktop basate su Electron, Signal, 1Password, componenti Android e innumerevoli pipeline server-side di elaborazione delle immagini. La confusione ha persino portato all'assegnazione temporanea di un secondo identificativo, CVE-2023-5129, con punteggio CVSS massimo di 10.0, poi riunificato in CVE-2023-4863. La lezione pratica per i difensori: aggiornare il browser non basta — ogni copia di libwebp incorporata nel proprio inventario software va individuata e aggiornata.

Risorse correlate

• La guida dettagliata per la valutazione delle vulnerabilità con il NIST Cybersecurity Framework
• Unified Exposure Management
• Vulnerabilità comuni nelle applicazioni Web e come testarle