{"id":925051,"date":"2026-11-06T16:43:29","date_gmt":"2026-11-06T16:43:29","guid":{"rendered":"https:\/\/www.ninjaone.com\/blog\/cve-2023-5129-webp-apps-vulneraveis\/"},"modified":"2026-11-06T16:43:30","modified_gmt":"2026-11-06T16:43:30","slug":"cve-2023-5129-webp-apps-vulneraveis","status":"publish","type":"post","link":"https:\/\/www.ninjaone.com\/pt-br\/blog\/cve-2023-5129-webp-apps-vulneraveis\/","title":{"rendered":"Dia zero no WebP (CVE-2023-5129): como identificar aplicativos vulner\u00e1veis com NinjaOne"},"content":{"rendered":"<p>Uma <a href=\"https:\/\/www.ninjaone.com\/pt-br\/blog\/vulnerabilidades-de-dia-zero\/\">vulnerabilidade de dia zero<\/a> (CVE-2023-5129) na biblioteca de imagens WebP est\u00e1 sendo explorada ativamente, o que coloca em risco os principais navegadores e dezenas de outros aplicativos.<\/p>\n<p><strong>OBSERVA\u00c7\u00c3O: NinjaOne N\u00c3O \u00e9 afetado por essa vulnerabilidade. <\/strong><\/p>\n<h2>Afinal, o que est\u00e1 acontecendo?<\/h2>\n<p>Na quarta-feira, 27 de setembro, o Google divulgou uma vulnerabilidade identificada como <a href=\"https:\/\/nvd.nist.gov\/vuln\/detail\/CVE-2023-5129\" target=\"_blank\" rel=\"noopener\">CVE-2023-5129<\/a> e atribuiu a ela pontua\u00e7\u00e3o base 10,0. Pior que isso n\u00e3o existe, o que mostra o tamanho da amea\u00e7a e a gravidade da falha.<\/p>\n<h2>O que \u00e9 a CVE-2023-5129?<\/h2>\n<p>A CVE-2023-5129 \u00e9 uma falha de estouro de buffer de heap no <a href=\"https:\/\/developers.google.com\/speed\/webp#:~:text=WebP%20is%20a%20modern%20image,in%20size%20compared%20to%20PNGs.\" target=\"_blank\" rel=\"noopener\">formato de imagem WebP<\/a>. Mais precisamente, na forma como ele faz a compress\u00e3o sem perdas de imagens na web (o WebP permite que desenvolvedores criem imagens menores que continuam com \u00f3tima apar\u00eancia, deixando a navega\u00e7\u00e3o mais r\u00e1pida). N\u00e3o vamos entrar em detalhes t\u00e9cnicos aqui, mas voc\u00ea encontra mais informa\u00e7\u00f5es sobre falhas de estouro de buffer de heap em geral e, especificamente, sobre o problema na fun\u00e7\u00e3o \u201cBuildHuffmanTable\u201d da biblioteca libwebp <a href=\"https:\/\/stackdiary.com\/critical-vulnerability-in-webp-codec-cve-2023-4863\/\" target=\"_blank\" rel=\"noopener\">neste post de Alex Ivanovs no StackDiary<\/a>.<\/p>\n<p>Vale notar: essa vulnerabilidade foi registrada originalmente como <a href=\"https:\/\/nvd.nist.gov\/vuln\/detail\/CVE-2023-4863\" target=\"_blank\" rel=\"noopener\">CVE-2023-4863<\/a> e atribu\u00edda apenas ao Chrome. A nova CVE foi emitida para deixar claro que a falha atinge um n\u00famero muito maior de aplicativos (lista parcial abaixo).<\/p>\n<h2>Qual \u00e9 a gravidade da CVE-2023-5129?<\/h2>\n<p>Infelizmente, alt\u00edssima (da\u00ed o CVSS 10,0). Por tr\u00eas motivos:<\/p>\n<ul>\n<li><strong>O impacto \u00e9 ampl\u00edssimo:<\/strong> a vulnerabilidade afeta qualquer software que use o codec WebP. Isso inclui navegadores importantes como Chrome, Firefox, Safari e Edge, mas tamb\u00e9m, como j\u00e1 dito, <span style=\"text-decoration: underline;\">uma enorme quantidade de outros aplicativos (lista parcial abaixo)<\/span>. Administradores que ainda t\u00eam traumas do log4j est\u00e3o de novo repensando suas escolhas de vida.<\/li>\n<li><strong>As consequ\u00eancias da explora\u00e7\u00e3o s\u00e3o grav\u00edssimas:<\/strong> uma explora\u00e7\u00e3o bem-sucedida pode permitir que invasores assumam o controle de um sistema, executem c\u00f3digo arbitr\u00e1rio e acessem dados sens\u00edveis dos usu\u00e1rios.<\/li>\n<li><strong>Invasores j\u00e1 est\u00e3o explorando a falha:<\/strong> no in\u00edcio deste m\u00eas (11 de setembro), o Google reconheceu que a <a href=\"https:\/\/chromereleases.googleblog.com\/2023\/09\/stable-channel-update-for-desktop_11.html?ref=blog.isosceles.com\" target=\"_blank\" rel=\"noopener\">CVE-2023-4863 estava sendo explorada em ambiente real<\/a>. Al\u00e9m disso, a falha foi associada ao <a href=\"https:\/\/citizenlab.ca\/2023\/09\/blastpass-nso-group-iphone-zero-click-zero-day-exploit-captured-in-the-wild\/\" target=\"_blank\" rel=\"noopener\">relat\u00f3rio \u201cBLASTPASS\u201d do Citizen Lab, de 7 de setembro<\/a>, que revelou uma explora\u00e7\u00e3o de dia zero e zero clique no iPhone capturada em ambiente real.<\/li>\n<\/ul>\n<h2 id=\"#ninjaone-not-impacted\">Quais aplicativos s\u00e3o afetados pela CVE-2023-5129?<\/h2>\n<p><strong>OBSERVA\u00c7\u00c3O: NinjaOne N\u00c3O \u00e9 afetado por essa vulnerabilidade. <\/strong><br \/>\n<em><strong>Atualiza\u00e7\u00e3o de 28 de setembro:<\/strong> o profissional de seguran\u00e7a Michael Taggart montou <a href=\"https:\/\/infosec.town\/notes\/9k5swp89shc4t888\" target=\"_blank\" rel=\"noopener\">uma lista extensa de aplicativos que ele atualiza continuamente aqui<\/a>. No momento s\u00e3o 744, sendo 165 com vulnerabilidade confirmada. <\/em><\/p>\n<p>Muitos aplicativos tratam imagens WebP por meio da libwebp. <a href=\"https:\/\/www.cyberkendra.com\/2023\/09\/webp-0day-google-assign-new-cve-for.html?m=1\" target=\"_blank\" rel=\"noopener\">Como informou o cyberkendra.com<\/a>, \u201ccomo o codec faz parte do Android, todos os aplicativos de navegador nativos em dispositivos Android s\u00e3o afetados\u201d.<\/p>\n<p>Mas a lista n\u00e3o para por a\u00ed. O site tamb\u00e9m lembra que, segundo uma rela\u00e7\u00e3o compilada na Wikip\u00e9dia, os seguintes aplicativos usam o codec WebP:<\/p>\n<ul>\n<li>1Password<\/li>\n<li>balenaEtcher<\/li>\n<li>Basecamp 3<\/li>\n<li>Beaker (web browser)<\/li>\n<li>Bitwarden<\/li>\n<li>CrashPlan<\/li>\n<li>Cryptocat (descontinuado)<\/li>\n<li>Discord<\/li>\n<li>Eclipse Theia<\/li>\n<li>FreeTube<\/li>\n<li>GitHub Desktop<\/li>\n<li>GitKraken<\/li>\n<li>Joplin<\/li>\n<li>Keybase<\/li>\n<li>Lbry<\/li>\n<li>Light Table<\/li>\n<li>Logitech Options +<\/li>\n<li>LosslessCut<\/li>\n<li>Mattermost<\/li>\n<li>Microsoft Teams<\/li>\n<li>MongoDB Compass<\/li>\n<li>Mullvad<\/li>\n<li>Notion<\/li>\n<li>Obsidian<\/li>\n<li>QQ (para macOS)<\/li>\n<li>Quasar Framework<\/li>\n<li>Shift<\/li>\n<li>Signal<\/li>\n<li>Skype<\/li>\n<li>Slack<\/li>\n<li>Symphony Chat<\/li>\n<li>Tabby<\/li>\n<li>Termius<\/li>\n<li>TIDAL<\/li>\n<li>Twitch<\/li>\n<li>Visual Studio Code<\/li>\n<li>WebTorrent<\/li>\n<li>Wire<\/li>\n<li>Yammer<\/li>\n<\/ul>\n<h2>Quais aplicativos j\u00e1 t\u00eam patches para a CVE-2023-5129?<\/h2>\n<p>O cyberkendra.com tamb\u00e9m mant\u00e9m uma lista \u00fatil dos fornecedores que j\u00e1 lan\u00e7aram patches para essa vulnerabilidade, e vai atualiz\u00e1-la continuamente:<\/p>\n<ul>\n<li><a href=\"https:\/\/chromereleases.googleblog.com\/2023\/09\/stable-channel-update-for-desktop_11.html\" rel=\"nofollow noopener\" target=\"_blank\">Google Chrome<\/a> \u2013  Mac e Linux 116.0.5845.187 e Windows 116.0.5845.187\/.188.<\/li>\n<li><a href=\"https:\/\/www.mozilla.org\/en-US\/security\/advisories\/mfsa2023-40\/\" rel=\"nofollow noopener\" target=\"_blank\">Mozilla<\/a> \u2013 Firefox 117.0.1, Firefox ESR 115.2.1, Firefox ESR 102.15.1, Thunderbird 102.15.1 e Thunderbird 115.2.2<\/li>\n<li><a href=\"https:\/\/github.com\/brave\/brave-browser\/releases\/tag\/v1.57.64\" rel=\"nofollow noopener\" target=\"_blank\">Brave Browser<\/a> \u2013 vers\u00e3o 1.57.64 (Chromium: 116.0.5845.188) [Android, iOS, Linux &amp; Mac].<\/li>\n<li><a href=\"https:\/\/learn.microsoft.com\/en-us\/deployedge\/microsoft-edge-relnotes-security\" rel=\"nofollow noopener\" target=\"_blank\">Microsoft Edge<\/a> \u2013 vers\u00f5es 109.0.1518.140, 116.0.1938.81 e 117.0.2045.31.<\/li>\n<li><a href=\"https:\/\/blog.torproject.org\/new-release-tor-browser-1254\/\" rel=\"nofollow noopener\" target=\"_blank\">Tor Browser<\/a> \u2013 vers\u00e3o 12.5.4.<\/li>\n<li><a href=\"https:\/\/blogs.opera.com\/desktop\/2023\/09\/opera-102-0-4880-51-stable-update\/\" rel=\"nofollow noopener\" target=\"_blank\">Opera<\/a> \u2013 vers\u00e3o 102.0.4880.46.<\/li>\n<li><a href=\"https:\/\/vivaldi.com\/blog\/desktop\/minor-update-three-6-2\/\" rel=\"nofollow noopener\" target=\"_blank\">Vivaldi<\/a> \u2013 vers\u00e3o 6.2.3105.47.<\/li>\n<li><a href=\"https:\/\/support.1password.com\/kb\/202309\/\" target=\"_blank\" rel=\"noopener\">1Password<\/a> \u2014 vers\u00e3o 8.10.15<\/li>\n<li><a href=\"https:\/\/github.com\/bitwarden\/clients\/pull\/6295\" rel=\"nofollow noopener\" target=\"_blank\">Bitwarden<\/a><\/li>\n<li><a href=\"https:\/\/blog.documentfoundation.org\/blog\/2023\/09\/26\/lo-762-and-lo-757\/\" rel=\"nofollow noopener\" target=\"_blank\">LibreOffice<\/a><\/li>\n<li><a href=\"https:\/\/www.suse.com\/security\/cve\/CVE-2023-5129.html\" rel=\"nofollow noopener\" target=\"_blank\">Suse<\/a><\/li>\n<li><a href=\"https:\/\/ubuntu.com\/security\/CVE-2023-5129\" rel=\"nofollow noopener\" target=\"_blank\">Ubuntu<\/a><\/li>\n<li><a href=\"https:\/\/github.com\/mifi\/lossless-cut\/issues\/1726\" rel=\"nofollow noopener\" target=\"_blank\">LosslessCut<\/a><\/li>\n<li>NixOS &#8211;  <a href=\"https:\/\/github.com\/NixOS\/nixpkgs\/issues\/254798\" rel=\"nofollow noopener\" target=\"_blank\">gerenciador de pacotes Nix<\/a><\/li>\n<\/ul>\n<h2>O que os administradores podem fazer agora para proteger suas redes?<\/h2>\n<p>Com toda a aten\u00e7\u00e3o que o caso vai receber e com a explora\u00e7\u00e3o ativa j\u00e1 confirmada, a recomenda\u00e7\u00e3o \u00e9 aplicar patches nos aplicativos vulner\u00e1veis (e confirmar que foram aplicados) assim que as atualiza\u00e7\u00f5es estiverem dispon\u00edveis.<\/p>\n<p>Infelizmente, ainda n\u00e3o se sabe a extens\u00e3o completa dos aplicativos afetados, e n\u00e3o d\u00e1 para aplicar patch em um aplicativo quando n\u00e3o se sabe que ele \u00e9 vulner\u00e1vel ou quando o patch ainda n\u00e3o existe. A expectativa \u00e9 que outros fornecedores tragam mais informa\u00e7\u00f5es e clareza em breve.<\/p>\n<p>Enquanto isso&#8230;<\/p>\n<h2>Como identificar aplicativos vulner\u00e1veis com NinjaOne<\/h2>\n<p>At\u00e9 que o alcance total dos aplicativos vulner\u00e1veis fique mais claro, os profissionais de TI podem, no m\u00ednimo, varrer suas redes em busca de dispositivos com vers\u00f5es desatualizadas de aplicativos que j\u00e1 receberam patch. Neste v\u00eddeo, Gavin Stone, Product Lead da NinjaOne, mostra como os usu\u00e1rios de NinjaOne podem fazer exatamente isso usando o filtro de invent\u00e1rio de software:<\/p>\n<p><iframe allowfullscreen=\"allowfullscreen\" frameborder=\"0\" height=\"315\" src=\"https:\/\/www.youtube.com\/embed\/WTcP1MqwLlk?si=8VVo9jHWeUpHGpa9\" title=\"YouTube video player\" width=\"560\"><\/iframe><\/p>\n<h2>Links e recursos adicionais<\/h2>\n<ul>\n<li><a href=\"https:\/\/nvd.nist.gov\/vuln\/detail\/CVE-2023-5129\" target=\"_blank\" rel=\"noopener\">Registro da CVE-2023-5129 no National Vulnerability Database<\/a><\/li>\n<li><a href=\"https:\/\/www.reddit.com\/r\/sysadmin\/comments\/16teato\/ah_f_cvss_100_dropped_absolute_meltdown_incoming\/\" target=\"_blank\" rel=\"noopener\">Discuss\u00e3o no r\/sysadmin<\/a><\/li>\n<li><a href=\"https:\/\/www.cyberkendra.com\/2023\/09\/webp-0day-google-assign-new-cve-for.html?m=1\" target=\"_blank\" rel=\"noopener\">WebP 0day: Google Assign New CVE for libwebp Vulnerability (cyberkendra.com)<\/a><\/li>\n<li><a href=\"https:\/\/stackdiary.com\/critical-vulnerability-in-webp-codec-cve-2023-4863\/\" target=\"_blank\" rel=\"noopener\">Critical WebP Bug: Many Apps, Not Just Browsers, Under Threat (StackDiary)<\/a><\/li>\n<li><a href=\"https:\/\/blog.isosceles.com\/the-webp-0day\/\" target=\"_blank\" rel=\"noopener\">The WebP 0day (Ben Hawkes)<\/a><\/li>\n<li><a href=\"https:\/\/citizenlab.ca\/2023\/09\/blastpass-nso-group-iphone-zero-click-zero-day-exploit-captured-in-the-wild\/\" target=\"_blank\" rel=\"noopener\">BLASTPASS: NSO Group iPhone Zero-Click, Zero-Day Exploit Captured in the Wild (The Citizen Lab)<\/a><\/li>\n<\/ul>\n","protected":false},"excerpt":{"rendered":"<p>Uma vulnerabilidade de dia zero (CVE-2023-5129) na biblioteca de imagens WebP est\u00e1 sendo explorada ativamente, o que coloca em risco os principais navegadores e dezenas de outros aplicativos. OBSERVA\u00c7\u00c3O: NinjaOne N\u00c3O \u00e9 afetado por essa vulnerabilidade. Afinal, o que est\u00e1 acontecendo? Na quarta-feira, 27 de setembro, o Google divulgou uma vulnerabilidade identificada como CVE-2023-5129 e [&hellip;]<\/p>\n","protected":false},"author":35,"featured_media":143167,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"","_relevanssi_noindex_reason":"","_lmt_disableupdate":"","_lmt_disable":"","footnotes":""},"categories":[3032],"tags":[],"class_list":["post-925051","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-security"],"acf":[],"modified_by":null,"_links":{"self":[{"href":"https:\/\/www.ninjaone.com\/pt-br\/wp-json\/wp\/v2\/posts\/925051","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ninjaone.com\/pt-br\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ninjaone.com\/pt-br\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/pt-br\/wp-json\/wp\/v2\/users\/35"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/pt-br\/wp-json\/wp\/v2\/comments?post=925051"}],"version-history":[{"count":1,"href":"https:\/\/www.ninjaone.com\/pt-br\/wp-json\/wp\/v2\/posts\/925051\/revisions"}],"predecessor-version":[{"id":925052,"href":"https:\/\/www.ninjaone.com\/pt-br\/wp-json\/wp\/v2\/posts\/925051\/revisions\/925052"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/pt-br\/wp-json\/wp\/v2\/media\/143167"}],"wp:attachment":[{"href":"https:\/\/www.ninjaone.com\/pt-br\/wp-json\/wp\/v2\/media?parent=925051"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ninjaone.com\/pt-br\/wp-json\/wp\/v2\/categories?post=925051"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ninjaone.com\/pt-br\/wp-json\/wp\/v2\/tags?post=925051"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}