{"id":897221,"date":"2026-10-14T12:08:56","date_gmt":"2026-10-14T12:08:56","guid":{"rendered":"https:\/\/www.ninjaone.com\/blog\/cve-2023-5129-webp-apps-vulnerables\/"},"modified":"2026-10-14T12:08:57","modified_gmt":"2026-10-14T12:08:57","slug":"cve-2023-5129-webp-apps-vulnerables","status":"publish","type":"post","link":"https:\/\/www.ninjaone.com\/es\/blog\/cve-2023-5129-webp-apps-vulnerables\/","title":{"rendered":"D\u00eda cero en WebP (CVE-2023-5129): c\u00f3mo identificar las aplicaciones vulnerables con NinjaOne"},"content":{"rendered":"<p>Una <a href=\"https:\/\/www.ninjaone.com\/es\/blog\/vulnerabilidades-de-dia-cero\/\">vulnerabilidad de d\u00eda cero<\/a> (CVE-2023-5129) en la biblioteca de im\u00e1genes WebP se est\u00e1 explotando de forma activa y pone en riesgo a los principales navegadores y a decenas de aplicaciones adicionales.<\/p>\n<p><strong>NOTA: NinjaOne NO est\u00e1 afectado por esta vulnerabilidad. <\/strong><\/p>\n<h2>\u00bfQu\u00e9 est\u00e1 pasando exactamente?<\/h2>\n<p>El mi\u00e9rcoles 27 de septiembre, Google public\u00f3 una vulnerabilidad identificada como <a href=\"https:\/\/nvd.nist.gov\/vuln\/detail\/CVE-2023-5129\" target=\"_blank\" rel=\"noopener\">CVE-2023-5129<\/a> y le asign\u00f3 una puntuaci\u00f3n base de 10,0. Peor imposible, lo que deja claro el nivel de amenaza y la gravedad del fallo.<\/p>\n<h2>\u00bfQu\u00e9 es CVE-2023-5129?<\/h2>\n<p>CVE-2023-5129 es un fallo de desbordamiento de b\u00fafer en el heap del <a href=\"https:\/\/developers.google.com\/speed\/webp#:~:text=WebP%20is%20a%20modern%20image,in%20size%20compared%20to%20PNGs.\" target=\"_blank\" rel=\"noopener\">formato de imagen WebP<\/a>. En concreto, afecta a la forma en que aplica la compresi\u00f3n sin p\u00e9rdidas a las im\u00e1genes en la web (WebP permite a los desarrolladores web crear im\u00e1genes m\u00e1s ligeras que siguen vi\u00e9ndose bien, lo que acelera la navegaci\u00f3n). No vamos a entrar aqu\u00ed en todos los detalles t\u00e9cnicos, pero puedes encontrar m\u00e1s informaci\u00f3n sobre los fallos de desbordamiento de b\u00fafer en el heap en general, y sobre el problema concreto de la funci\u00f3n \u00abBuildHuffmanTable\u00bb de la biblioteca libwebp, en <a href=\"https:\/\/stackdiary.com\/critical-vulnerability-in-webp-codec-cve-2023-4863\/\" target=\"_blank\" rel=\"noopener\">este art\u00edculo de Alex Ivanovs en StackDiary<\/a>.<\/p>\n<p>Un apunte: esta vulnerabilidad se registr\u00f3 inicialmente como <a href=\"https:\/\/nvd.nist.gov\/vuln\/detail\/CVE-2023-4863\" target=\"_blank\" rel=\"noopener\">CVE-2023-4863<\/a> y se atribuy\u00f3 \u00fanicamente a Chrome. El nuevo CVE se public\u00f3 para aclarar que el fallo afecta en realidad a muchas m\u00e1s aplicaciones (lista parcial m\u00e1s abajo).<\/p>\n<h2>\u00bfQu\u00e9 gravedad tiene CVE-2023-5129?<\/h2>\n<p>Por desgracia, mucha (de ah\u00ed el 10,0 en CVSS). Por tres motivos distintos:<\/p>\n<ul>\n<li><strong>El alcance es enormemente amplio:<\/strong> la vulnerabilidad afecta a cualquier software que utilice el c\u00f3dec WebP. Esto incluye navegadores tan importantes como Chrome, Firefox, Safari y Edge, pero tambi\u00e9n, como dec\u00edamos, <span style=\"text-decoration: underline;\">un mont\u00f3n de aplicaciones adicionales (lista parcial m\u00e1s abajo)<\/span>. Los administradores que a\u00fan arrastran el trauma de log4j vuelven a replantearse sus decisiones vitales.<\/li>\n<li><strong>Las consecuencias de un ataque son muy graves:<\/strong> una explotaci\u00f3n exitosa podr\u00eda permitir a los atacantes tomar el control de un sistema, ejecutar c\u00f3digo arbitrario y acceder a datos sensibles de los usuarios.<\/li>\n<li><strong>Los atacantes ya la est\u00e1n explotando activamente:<\/strong> a principios de este mes (el 11 de septiembre), Google reconoci\u00f3 que <a href=\"https:\/\/chromereleases.googleblog.com\/2023\/09\/stable-channel-update-for-desktop_11.html?ref=blog.isosceles.com\" target=\"_blank\" rel=\"noopener\">CVE-2023-4863 se estaba explotando de forma activa<\/a>. Adem\u00e1s, el fallo se ha relacionado con el <a href=\"https:\/\/citizenlab.ca\/2023\/09\/blastpass-nso-group-iphone-zero-click-zero-day-exploit-captured-in-the-wild\/\" target=\"_blank\" rel=\"noopener\">informe \u00abBLASTPASS\u00bb publicado por Citizen Lab el 7 de septiembre<\/a>, que revelaba un exploit de d\u00eda cero y cero clics para iPhone detectado en circulaci\u00f3n.<\/li>\n<\/ul>\n<h2 id=\"#ninjaone-not-impacted\">\u00bfA qu\u00e9 aplicaciones afecta CVE-2023-5129?<\/h2>\n<p><strong>NOTA: NinjaOne NO est\u00e1 afectado por esta vulnerabilidad. <\/strong><br \/>\n<em><strong>Actualizaci\u00f3n del 28 de septiembre:<\/strong> el profesional de seguridad Michael Taggart ha elaborado <a href=\"https:\/\/infosec.town\/notes\/9k5swp89shc4t888\" target=\"_blank\" rel=\"noopener\">una extensa lista de aplicaciones que actualiza continuamente aqu\u00ed<\/a>. Por ahora incluye 744, de las cuales 165 est\u00e1n confirmadas como vulnerables. <\/em><\/p>\n<p>Muchas aplicaciones gestionan im\u00e1genes WebP a trav\u00e9s de libwebp. <a href=\"https:\/\/www.cyberkendra.com\/2023\/09\/webp-0day-google-assign-new-cve-for.html?m=1\" target=\"_blank\" rel=\"noopener\">Seg\u00fan informa cyberkendra.com<\/a>, \u00abdado que el c\u00f3dec est\u00e1 integrado en Android, todas las aplicaciones de navegador nativas de los dispositivos Android est\u00e1n afectadas\u00bb.<\/p>\n<p>Pero la lista no acaba ah\u00ed. Tambi\u00e9n se\u00f1alan que, seg\u00fan una lista recopilada en Wikipedia, las siguientes aplicaciones usan el c\u00f3dec WebP:<\/p>\n<ul>\n<li>1Password<\/li>\n<li>balenaEtcher<\/li>\n<li>Basecamp 3<\/li>\n<li>Beaker (web browser)<\/li>\n<li>Bitwarden<\/li>\n<li>CrashPlan<\/li>\n<li>Cryptocat (discontinued)<\/li>\n<li>Discord<\/li>\n<li>Eclipse Theia<\/li>\n<li>FreeTube<\/li>\n<li>GitHub Desktop<\/li>\n<li>GitKraken<\/li>\n<li>Joplin<\/li>\n<li>Keybase<\/li>\n<li>Lbry<\/li>\n<li>Light Table<\/li>\n<li>Logitech Options +<\/li>\n<li>LosslessCut<\/li>\n<li>Mattermost<\/li>\n<li>Microsoft Teams<\/li>\n<li>MongoDB Compass<\/li>\n<li>Mullvad<\/li>\n<li>Notion<\/li>\n<li>Obsidian<\/li>\n<li>QQ (for macOS)<\/li>\n<li>Quasar Framework<\/li>\n<li>Shift<\/li>\n<li>Signal<\/li>\n<li>Skype<\/li>\n<li>Slack<\/li>\n<li>Symphony Chat<\/li>\n<li>Tabby<\/li>\n<li>Termius<\/li>\n<li>TIDAL<\/li>\n<li>Twitch<\/li>\n<li>Visual Studio Code<\/li>\n<li>WebTorrent<\/li>\n<li>Wire<\/li>\n<li>Yammer<\/li>\n<\/ul>\n<h2>\u00bfQu\u00e9 aplicaciones ya tienen parche para CVE-2023-5129?<\/h2>\n<p>Cyberkendra.com tambi\u00e9n est\u00e1 recopilando una lista muy \u00fatil de proveedores que ya han publicado parches para esta vulnerabilidad, y la ir\u00e1 actualizando:<\/p>\n<ul>\n<li><a href=\"https:\/\/chromereleases.googleblog.com\/2023\/09\/stable-channel-update-for-desktop_11.html\" rel=\"nofollow noopener\" target=\"_blank\">Google Chrome<\/a> \u2013  Mac y Linux 116.0.5845.187 y Windows 116.0.5845.187\/.188.<\/li>\n<li><a href=\"https:\/\/www.mozilla.org\/en-US\/security\/advisories\/mfsa2023-40\/\" rel=\"nofollow noopener\" target=\"_blank\">Mozilla<\/a> \u2013 Firefox 117.0.1, Firefox ESR 115.2.1, Firefox ESR 102.15.1, Thunderbird 102.15.1 y Thunderbird 115.2.2<\/li>\n<li><a href=\"https:\/\/github.com\/brave\/brave-browser\/releases\/tag\/v1.57.64\" rel=\"nofollow noopener\" target=\"_blank\">Brave Browser<\/a> \u2013 versi\u00f3n 1.57.64 (Chromium: 116.0.5845.188) [Android, iOS, Linux &amp; Mac].<\/li>\n<li><a href=\"https:\/\/learn.microsoft.com\/en-us\/deployedge\/microsoft-edge-relnotes-security\" rel=\"nofollow noopener\" target=\"_blank\">Microsoft Edge<\/a> \u2013 versiones 109.0.1518.140, 116.0.1938.81 y 117.0.2045.31.<\/li>\n<li><a href=\"https:\/\/blog.torproject.org\/new-release-tor-browser-1254\/\" rel=\"nofollow noopener\" target=\"_blank\">Tor Browser<\/a> \u2013 versi\u00f3n 12.5.4.<\/li>\n<li><a href=\"https:\/\/blogs.opera.com\/desktop\/2023\/09\/opera-102-0-4880-51-stable-update\/\" rel=\"nofollow noopener\" target=\"_blank\">Opera<\/a> \u2013 versi\u00f3n 102.0.4880.46.<\/li>\n<li><a href=\"https:\/\/vivaldi.com\/blog\/desktop\/minor-update-three-6-2\/\" rel=\"nofollow noopener\" target=\"_blank\">Vivaldi<\/a> \u2013 versi\u00f3n 6.2.3105.47.<\/li>\n<li><a href=\"https:\/\/support.1password.com\/kb\/202309\/\" target=\"_blank\" rel=\"noopener\">1Password<\/a> \u2014 versi\u00f3n 8.10.15<\/li>\n<li><a href=\"https:\/\/github.com\/bitwarden\/clients\/pull\/6295\" rel=\"nofollow noopener\" target=\"_blank\">Bitwarden<\/a><\/li>\n<li><a href=\"https:\/\/blog.documentfoundation.org\/blog\/2023\/09\/26\/lo-762-and-lo-757\/\" rel=\"nofollow noopener\" target=\"_blank\">LibreOffice<\/a><\/li>\n<li><a href=\"https:\/\/www.suse.com\/security\/cve\/CVE-2023-5129.html\" rel=\"nofollow noopener\" target=\"_blank\">Suse<\/a><\/li>\n<li><a href=\"https:\/\/ubuntu.com\/security\/CVE-2023-5129\" rel=\"nofollow noopener\" target=\"_blank\">Ubuntu<\/a><\/li>\n<li><a href=\"https:\/\/github.com\/mifi\/lossless-cut\/issues\/1726\" rel=\"nofollow noopener\" target=\"_blank\">LosslessCut<\/a><\/li>\n<li>NixOS &#8211;  <a href=\"https:\/\/github.com\/NixOS\/nixpkgs\/issues\/254798\" rel=\"nofollow noopener\" target=\"_blank\">Nix package manager<\/a><\/li>\n<\/ul>\n<h2>\u00bfQu\u00e9 pueden hacer los administradores ahora para proteger sus redes?<\/h2>\n<p>Con toda la atenci\u00f3n que esto va a generar, y con la explotaci\u00f3n activa ya confirmada, se recomienda encarecidamente parchear las aplicaciones vulnerables (y verificar que los parches se han aplicado) en cuanto haya actualizaciones disponibles.<\/p>\n<p>Por desgracia, todav\u00eda no se conoce el alcance completo de las aplicaciones afectadas, y no puedes parchear una aplicaci\u00f3n si no sabes que es vulnerable o si a\u00fan no existe un parche. Con suerte, pronto habr\u00e1 m\u00e1s proveedores que aporten informaci\u00f3n y claridad.<\/p>\n<p>Mientras tanto&#8230;<\/p>\n<h2>C\u00f3mo identificar aplicaciones vulnerables con NinjaOne<\/h2>\n<p>Hasta que se conozca el alcance real de las aplicaciones vulnerables, los profesionales de TI pueden como m\u00ednimo rastrear sus redes en busca de dispositivos con versiones desactualizadas de aplicaciones que ya se han parcheado. En este v\u00eddeo, Gavin Stone, Product Lead de NinjaOne, explica c\u00f3mo hacerlo con el filtro de inventario de software:<\/p>\n<p><iframe allowfullscreen=\"allowfullscreen\" frameborder=\"0\" height=\"315\" src=\"https:\/\/www.youtube.com\/embed\/WTcP1MqwLlk?si=8VVo9jHWeUpHGpa9\" title=\"Reproductor de v\u00eddeo de YouTube\" width=\"560\"><\/iframe><\/p>\n<h2>Enlaces y recursos adicionales<\/h2>\n<ul>\n<li><a href=\"https:\/\/nvd.nist.gov\/vuln\/detail\/CVE-2023-5129\" target=\"_blank\" rel=\"noopener\">Ficha de CVE-2023-5129 en la National Vulnerability Database<\/a><\/li>\n<li><a href=\"https:\/\/www.reddit.com\/r\/sysadmin\/comments\/16teato\/ah_f_cvss_100_dropped_absolute_meltdown_incoming\/\" target=\"_blank\" rel=\"noopener\">Debate en r\/sysadmin<\/a><\/li>\n<li><a href=\"https:\/\/www.cyberkendra.com\/2023\/09\/webp-0day-google-assign-new-cve-for.html?m=1\" target=\"_blank\" rel=\"noopener\">WebP 0day: Google Assign New CVE for libwebp Vulnerability (cyberkendra.com)<\/a><\/li>\n<li><a href=\"https:\/\/stackdiary.com\/critical-vulnerability-in-webp-codec-cve-2023-4863\/\" target=\"_blank\" rel=\"noopener\">Critical WebP Bug: Many Apps, Not Just Browsers, Under Threat (StackDiary)<\/a><\/li>\n<li><a href=\"https:\/\/blog.isosceles.com\/the-webp-0day\/\" target=\"_blank\" rel=\"noopener\">The WebP 0day (Ben Hawkes)<\/a><\/li>\n<li><a href=\"https:\/\/citizenlab.ca\/2023\/09\/blastpass-nso-group-iphone-zero-click-zero-day-exploit-captured-in-the-wild\/\" target=\"_blank\" rel=\"noopener\">BLASTPASS: NSO Group iPhone Zero-Click, Zero-Day Exploit Captured in the Wild (The Citizen Lab)<\/a><\/li>\n<\/ul>\n","protected":false},"excerpt":{"rendered":"<p>Una vulnerabilidad de d\u00eda cero (CVE-2023-5129) en la biblioteca de im\u00e1genes WebP se est\u00e1 explotando de forma activa y pone en riesgo a los principales navegadores y a decenas de aplicaciones adicionales. NOTA: NinjaOne NO est\u00e1 afectado por esta vulnerabilidad. \u00bfQu\u00e9 est\u00e1 pasando exactamente? El mi\u00e9rcoles 27 de septiembre, Google public\u00f3 una vulnerabilidad identificada como [&hellip;]<\/p>\n","protected":false},"author":35,"featured_media":143167,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"","_relevanssi_noindex_reason":"","_lmt_disableupdate":"","_lmt_disable":"","footnotes":""},"categories":[4366],"tags":[],"class_list":["post-897221","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-seguridad"],"acf":[],"modified_by":null,"_links":{"self":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts\/897221","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/users\/35"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/comments?post=897221"}],"version-history":[{"count":1,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts\/897221\/revisions"}],"predecessor-version":[{"id":897222,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts\/897221\/revisions\/897222"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/media\/143167"}],"wp:attachment":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/media?parent=897221"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/categories?post=897221"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/tags?post=897221"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}