Uma vulnerabilidade de dia zero (CVE-2023-5129) na biblioteca de imagens WebP está sendo explorada ativamente, o que coloca em risco os principais navegadores e dezenas de outros aplicativos.
OBSERVAÇÃO: NinjaOne NÃO é afetado por essa vulnerabilidade.
Afinal, o que está acontecendo?
Na quarta-feira, 27 de setembro, o Google divulgou uma vulnerabilidade identificada como CVE-2023-5129 e atribuiu a ela pontuação base 10,0. Pior que isso não existe, o que mostra o tamanho da ameaça e a gravidade da falha.
O que é a CVE-2023-5129?
A CVE-2023-5129 é uma falha de estouro de buffer de heap no formato de imagem WebP. Mais precisamente, na forma como ele faz a compressão sem perdas de imagens na web (o WebP permite que desenvolvedores criem imagens menores que continuam com ótima aparência, deixando a navegação mais rápida). Não vamos entrar em detalhes técnicos aqui, mas você encontra mais informações sobre falhas de estouro de buffer de heap em geral e, especificamente, sobre o problema na função “BuildHuffmanTable” da biblioteca libwebp neste post de Alex Ivanovs no StackDiary.
Vale notar: essa vulnerabilidade foi registrada originalmente como CVE-2023-4863 e atribuída apenas ao Chrome. A nova CVE foi emitida para deixar claro que a falha atinge um número muito maior de aplicativos (lista parcial abaixo).
Qual é a gravidade da CVE-2023-5129?
Infelizmente, altíssima (daí o CVSS 10,0). Por três motivos:
- O impacto é amplíssimo: a vulnerabilidade afeta qualquer software que use o codec WebP. Isso inclui navegadores importantes como Chrome, Firefox, Safari e Edge, mas também, como já dito, uma enorme quantidade de outros aplicativos (lista parcial abaixo). Administradores que ainda têm traumas do log4j estão de novo repensando suas escolhas de vida.
- As consequências da exploração são gravíssimas: uma exploração bem-sucedida pode permitir que invasores assumam o controle de um sistema, executem código arbitrário e acessem dados sensíveis dos usuários.
- Invasores já estão explorando a falha: no início deste mês (11 de setembro), o Google reconheceu que a CVE-2023-4863 estava sendo explorada em ambiente real. Além disso, a falha foi associada ao relatório “BLASTPASS” do Citizen Lab, de 7 de setembro, que revelou uma exploração de dia zero e zero clique no iPhone capturada em ambiente real.
Quais aplicativos são afetados pela CVE-2023-5129?
OBSERVAÇÃO: NinjaOne NÃO é afetado por essa vulnerabilidade.
Atualização de 28 de setembro: o profissional de segurança Michael Taggart montou uma lista extensa de aplicativos que ele atualiza continuamente aqui. No momento são 744, sendo 165 com vulnerabilidade confirmada.
Muitos aplicativos tratam imagens WebP por meio da libwebp. Como informou o cyberkendra.com, “como o codec faz parte do Android, todos os aplicativos de navegador nativos em dispositivos Android são afetados”.
Mas a lista não para por aí. O site também lembra que, segundo uma relação compilada na Wikipédia, os seguintes aplicativos usam o codec WebP:
- 1Password
- balenaEtcher
- Basecamp 3
- Beaker (web browser)
- Bitwarden
- CrashPlan
- Cryptocat (descontinuado)
- Discord
- Eclipse Theia
- FreeTube
- GitHub Desktop
- GitKraken
- Joplin
- Keybase
- Lbry
- Light Table
- Logitech Options +
- LosslessCut
- Mattermost
- Microsoft Teams
- MongoDB Compass
- Mullvad
- Notion
- Obsidian
- QQ (para macOS)
- Quasar Framework
- Shift
- Signal
- Skype
- Slack
- Symphony Chat
- Tabby
- Termius
- TIDAL
- Twitch
- Visual Studio Code
- WebTorrent
- Wire
- Yammer
Quais aplicativos já têm patches para a CVE-2023-5129?
O cyberkendra.com também mantém uma lista útil dos fornecedores que já lançaram patches para essa vulnerabilidade, e vai atualizá-la continuamente:
- Google Chrome – Mac e Linux 116.0.5845.187 e Windows 116.0.5845.187/.188.
- Mozilla – Firefox 117.0.1, Firefox ESR 115.2.1, Firefox ESR 102.15.1, Thunderbird 102.15.1 e Thunderbird 115.2.2
- Brave Browser – versão 1.57.64 (Chromium: 116.0.5845.188) [Android, iOS, Linux & Mac].
- Microsoft Edge – versões 109.0.1518.140, 116.0.1938.81 e 117.0.2045.31.
- Tor Browser – versão 12.5.4.
- Opera – versão 102.0.4880.46.
- Vivaldi – versão 6.2.3105.47.
- 1Password — versão 8.10.15
- Bitwarden
- LibreOffice
- Suse
- Ubuntu
- LosslessCut
- NixOS – gerenciador de pacotes Nix
O que os administradores podem fazer agora para proteger suas redes?
Com toda a atenção que o caso vai receber e com a exploração ativa já confirmada, a recomendação é aplicar patches nos aplicativos vulneráveis (e confirmar que foram aplicados) assim que as atualizações estiverem disponíveis.
Infelizmente, ainda não se sabe a extensão completa dos aplicativos afetados, e não dá para aplicar patch em um aplicativo quando não se sabe que ele é vulnerável ou quando o patch ainda não existe. A expectativa é que outros fornecedores tragam mais informações e clareza em breve.
Enquanto isso…
Como identificar aplicativos vulneráveis com NinjaOne
Até que o alcance total dos aplicativos vulneráveis fique mais claro, os profissionais de TI podem, no mínimo, varrer suas redes em busca de dispositivos com versões desatualizadas de aplicativos que já receberam patch. Neste vídeo, Gavin Stone, Product Lead da NinjaOne, mostra como os usuários de NinjaOne podem fazer exatamente isso usando o filtro de inventário de software:
Links e recursos adicionais
- Registro da CVE-2023-5129 no National Vulnerability Database
- Discussão no r/sysadmin
- WebP 0day: Google Assign New CVE for libwebp Vulnerability (cyberkendra.com)
- Critical WebP Bug: Many Apps, Not Just Browsers, Under Threat (StackDiary)
- The WebP 0day (Ben Hawkes)
- BLASTPASS: NSO Group iPhone Zero-Click, Zero-Day Exploit Captured in the Wild (The Citizen Lab)
