Una vulnerabilidad de día cero (CVE-2023-5129) en la biblioteca de imágenes WebP se está explotando de forma activa y pone en riesgo a los principales navegadores y a decenas de aplicaciones adicionales.
NOTA: NinjaOne NO está afectado por esta vulnerabilidad.
¿Qué está pasando exactamente?
El miércoles 27 de septiembre, Google publicó una vulnerabilidad identificada como CVE-2023-5129 y le asignó una puntuación base de 10,0. Peor imposible, lo que deja claro el nivel de amenaza y la gravedad del fallo.
¿Qué es CVE-2023-5129?
CVE-2023-5129 es un fallo de desbordamiento de búfer en el heap del formato de imagen WebP. En concreto, afecta a la forma en que aplica la compresión sin pérdidas a las imágenes en la web (WebP permite a los desarrolladores web crear imágenes más ligeras que siguen viéndose bien, lo que acelera la navegación). No vamos a entrar aquí en todos los detalles técnicos, pero puedes encontrar más información sobre los fallos de desbordamiento de búfer en el heap en general, y sobre el problema concreto de la función «BuildHuffmanTable» de la biblioteca libwebp, en este artículo de Alex Ivanovs en StackDiary.
Un apunte: esta vulnerabilidad se registró inicialmente como CVE-2023-4863 y se atribuyó únicamente a Chrome. El nuevo CVE se publicó para aclarar que el fallo afecta en realidad a muchas más aplicaciones (lista parcial más abajo).
¿Qué gravedad tiene CVE-2023-5129?
Por desgracia, mucha (de ahí el 10,0 en CVSS). Por tres motivos distintos:
- El alcance es enormemente amplio: la vulnerabilidad afecta a cualquier software que utilice el códec WebP. Esto incluye navegadores tan importantes como Chrome, Firefox, Safari y Edge, pero también, como decíamos, un montón de aplicaciones adicionales (lista parcial más abajo). Los administradores que aún arrastran el trauma de log4j vuelven a replantearse sus decisiones vitales.
- Las consecuencias de un ataque son muy graves: una explotación exitosa podría permitir a los atacantes tomar el control de un sistema, ejecutar código arbitrario y acceder a datos sensibles de los usuarios.
- Los atacantes ya la están explotando activamente: a principios de este mes (el 11 de septiembre), Google reconoció que CVE-2023-4863 se estaba explotando de forma activa. Además, el fallo se ha relacionado con el informe «BLASTPASS» publicado por Citizen Lab el 7 de septiembre, que revelaba un exploit de día cero y cero clics para iPhone detectado en circulación.
¿A qué aplicaciones afecta CVE-2023-5129?
NOTA: NinjaOne NO está afectado por esta vulnerabilidad.
Actualización del 28 de septiembre: el profesional de seguridad Michael Taggart ha elaborado una extensa lista de aplicaciones que actualiza continuamente aquí. Por ahora incluye 744, de las cuales 165 están confirmadas como vulnerables.
Muchas aplicaciones gestionan imágenes WebP a través de libwebp. Según informa cyberkendra.com, «dado que el códec está integrado en Android, todas las aplicaciones de navegador nativas de los dispositivos Android están afectadas».
Pero la lista no acaba ahí. También señalan que, según una lista recopilada en Wikipedia, las siguientes aplicaciones usan el códec WebP:
- 1Password
- balenaEtcher
- Basecamp 3
- Beaker (web browser)
- Bitwarden
- CrashPlan
- Cryptocat (discontinued)
- Discord
- Eclipse Theia
- FreeTube
- GitHub Desktop
- GitKraken
- Joplin
- Keybase
- Lbry
- Light Table
- Logitech Options +
- LosslessCut
- Mattermost
- Microsoft Teams
- MongoDB Compass
- Mullvad
- Notion
- Obsidian
- QQ (for macOS)
- Quasar Framework
- Shift
- Signal
- Skype
- Slack
- Symphony Chat
- Tabby
- Termius
- TIDAL
- Twitch
- Visual Studio Code
- WebTorrent
- Wire
- Yammer
¿Qué aplicaciones ya tienen parche para CVE-2023-5129?
Cyberkendra.com también está recopilando una lista muy útil de proveedores que ya han publicado parches para esta vulnerabilidad, y la irá actualizando:
- Google Chrome – Mac y Linux 116.0.5845.187 y Windows 116.0.5845.187/.188.
- Mozilla – Firefox 117.0.1, Firefox ESR 115.2.1, Firefox ESR 102.15.1, Thunderbird 102.15.1 y Thunderbird 115.2.2
- Brave Browser – versión 1.57.64 (Chromium: 116.0.5845.188) [Android, iOS, Linux & Mac].
- Microsoft Edge – versiones 109.0.1518.140, 116.0.1938.81 y 117.0.2045.31.
- Tor Browser – versión 12.5.4.
- Opera – versión 102.0.4880.46.
- Vivaldi – versión 6.2.3105.47.
- 1Password — versión 8.10.15
- Bitwarden
- LibreOffice
- Suse
- Ubuntu
- LosslessCut
- NixOS – Nix package manager
¿Qué pueden hacer los administradores ahora para proteger sus redes?
Con toda la atención que esto va a generar, y con la explotación activa ya confirmada, se recomienda encarecidamente parchear las aplicaciones vulnerables (y verificar que los parches se han aplicado) en cuanto haya actualizaciones disponibles.
Por desgracia, todavía no se conoce el alcance completo de las aplicaciones afectadas, y no puedes parchear una aplicación si no sabes que es vulnerable o si aún no existe un parche. Con suerte, pronto habrá más proveedores que aporten información y claridad.
Mientras tanto…
Cómo identificar aplicaciones vulnerables con NinjaOne
Hasta que se conozca el alcance real de las aplicaciones vulnerables, los profesionales de TI pueden como mínimo rastrear sus redes en busca de dispositivos con versiones desactualizadas de aplicaciones que ya se han parcheado. En este vídeo, Gavin Stone, Product Lead de NinjaOne, explica cómo hacerlo con el filtro de inventario de software:
Enlaces y recursos adicionales
- Ficha de CVE-2023-5129 en la National Vulnerability Database
- Debate en r/sysadmin
- WebP 0day: Google Assign New CVE for libwebp Vulnerability (cyberkendra.com)
- Critical WebP Bug: Many Apps, Not Just Browsers, Under Threat (StackDiary)
- The WebP 0day (Ben Hawkes)
- BLASTPASS: NSO Group iPhone Zero-Click, Zero-Day Exploit Captured in the Wild (The Citizen Lab)
