Ажурирајте све: Ова критична ВебП рањивост утиче на главне прегледаче и апликације

Откривена је критична рањивост у ВебП кодеку, што је приморало главне претраживаче да убрзају безбедносна ажурирања. Међутим, широко распрострањена употреба истог кода за приказивање ВебП-а значи да су погођене и безбројне апликације, све док не објаве безбедносне закрпе.

Дакле, шта је ЦВЕ-2023-4863 рањивост? Колико је лоше? А шта ти можеш?

Шта је ВебП ЦВЕ-2023-4863 рањивост?

Проблем у ВебП кодеку је назван ЦВЕ-2023-4863. Корен лежи у специфичној функцији ВебП кода за приказивање („БуилдХуффманТабле“), чинећи кодек рањивим на препуне бафера гомиле.

До преоптерећења бафера гомиле долази када програм упише више података у меморијски бафер него што је дизајниран да задржи. Када се то догоди, може потенцијално да препише суседну меморију и оштети податке. Још горе, хакери могу да искористе преливање бафера гомиле да би преузели системе и уређаја на даљину.

Хакери могу да циљају апликације за које се зна да имају рањивости за прекорачење бафера и да им шаљу злонамерне податке. На пример, могли би да отпреме злонамерну ВебП слику која примењује код на корисниковом уређају када је погледа у свом прегледачу или другој апликацији.

Ова врста рањивости која постоји у коду који се широко користи као и ВебП кодек је озбиљан проблем. Осим главних претраживача, безброј апликација користи исти кодек за приказивање ВебП слика. У овој фази, ЦВЕ-2023-4863 рањивост је превише распрострањена да бисмо знали колико је заиста велика и чишћење ће бити неуредно.

Да ли је безбедно користити мој омиљени прегледач?

Да, већина главних претраживача је већ објавила ажурирања за решавање овог проблема. Дакле, све док ажурирате своје апликације на најновију верзију, можете да претражујете веб као и обично. Гоогле, Мозилла, Мицрософт, Браве и Тор су сви објавили безбедносне закрпе, а други су то вероватно урадили до тренутка када ово читате.

Ажурирања која садрже исправке за ову специфичну рањивост су:

• Хром: Верзија 116.0.5846.187 (Мац / Линук); верзија 116.0.5845.187/.188 (Виндовс)
• Фирефок: Фирефок 117.0.1; Фирефок ЕСР 115.2.1; Тхундербирд 115.2.2
• Ивица: Едге верзија 116.0.1938.81
• храбар: Браве верзија 1.57.64
• Тор: Тор претраживач 12.5.4

Ако користите други прегледач, проверите да ли постоје најновија ажурирања и потражите специфичне референце на рањивост ЦВЕ-2023-4863 прекорачења бафера гомиле у ВебП-у. На пример, најава ажурирања Цхроме-а укључује следећу референцу: „Критичан ЦВЕ-2023-4863: Преливање бафера гомиле у ВебП-у“.

Ако не можете да пронађете референцу на ову рањивост у најновијој верзији вашег омиљеног прегледача, пребаците се на ону наведену изнад док се не објави исправка за претраживач по избору.

Да ли сам сигуран да користим своје омиљене апликације?

Овде постаје незгодно. Нажалост, ЦВЕ-2023-4863 ВебП рањивост такође утиче на непознат број апликација. Прво, било који софтвер који користи библиотеку либвебп је под утицајем ове рањивости, што значи да ће сваки провајдер морати да објави сопствене безбедносне закрпе.

Да ствар буде компликованија, ова рањивост је уклопљена у многе популарне оквире који се користе за прављење апликација. У овим случајевима, оквире је потребно прво ажурирати, а затим провајдери софтвера који их користе морају ажурирати на најновију верзију како би заштитили своје кориснике. Ово отежава просечном кориснику да зна на које апликације утиче и које су решиле проблем.

Погођене апликације укључују Мицрософт Теамс, Слацк, Скипе, Дисцорд, Телеграм, 1Пассворд, Сигнал, ЛибреОффице и Аффинити пакет—међу многим другим.

1Пассворд је објавио ажурирање да би се решио проблем, иако његова страница са најавом садржи грешку у куцању за ИД рањивости ЦВЕ-2023-4863 (завршава се са -36, уместо -63). Аппле такође има објавио безбедносну закрпу за мацОС чини се да решава исти проблем, али га не упућује посебно. Исто тако, Слацк је објавио безбедносно ажурирање 12. септембра (верзија 4.34.119), али не упућује на ЦВЕ-2023-4863.

Ажурирајте све и наставите пажљиво

Као корисник, једина ствар коју можете да урадите у вези са рањивости ЦВЕ-2023-4863 ВебП Цодек-а је да ажурирате све. Почните са сваким прегледачем који користите, а затим прођите кроз најважније апликације.

Проверите најновије верзије издања за сваку апликацију коју можете и потражите специфичне референце на ЦВЕ-2023-4863 ИД. Ако не можете да пронађете референце на ову рањивост у најновијим напоменама о издању, размислите о преласку на безбедну алтернативу док ваша жељена апликација не реши проблем. Ако ово није опција, проверите да ли постоје безбедносне исправке објављене после 12. септембра и наставите са ажурирањем чим се објаве нове безбедносне закрпе.

Ово не гарантује да се ЦВЕ-2023-4863 решава, али је то најбоља резервна опција коју имате у овом тренутку.

ВебП: Фино решење са поучном причом

Гоогле је лансирао ВебП 2010. године као решење за брже приказивање слика у прегледачима и другим апликацијама. Формат обезбеђује компресију са губицима и без губитака која може да смањи величину сликовних датотека за ~30 процената уз одржавање приметног квалитета.

У погледу перформанси, ВебП је одлично решење за смањење времена рендеровања. Међутим, то је такође упозоравајућа прича о давању приоритета одређеном аспекту учинка у односу на друге – наиме, безбедност. Када се половичан развој сусреће са широко распрострањеним усвајањем, то ствара савршену олују за рањивости извора. И, са експлоатацијом нултог дана у порасту, компаније попут Гугла морају да унапреде своју игру или ће програмери морати више да истражују технологије.