Home-theater-designers
Một lỗ hổng nghiêm trọng trong WebP Codec đã được phát hiện, buộc các trình duyệt lớn phải nhanh chóng cập nhật bảo mật. Tuy nhiên, việc sử dụng rộng rãi cùng một mã kết xuất WebP có nghĩa là vô số ứng dụng cũng bị ảnh hưởng cho đến khi chúng phát hành các bản vá bảo mật.
Video MUO trong ngày CUỘN ĐỂ TIẾP TỤC VỚI NỘI DUNG
Vậy lỗ hổng CVE-2023-4863 là gì? Nó tệ đến mức nào? Và bạn có thể làm gì?
Lỗ hổng WebP CVE-2023-4863 là gì?
Sự cố trong WebP Codec được đặt tên là CVE-2023-4863. Root nằm trong một chức năng cụ thể của mã kết xuất WebP (“BuildHuffmanTable”), khiến codec dễ bị tấn công. tràn bộ đệm heap .
Quá tải bộ đệm heap xảy ra khi một chương trình ghi nhiều dữ liệu vào bộ nhớ đệm hơn mức được thiết kế để lưu giữ. Khi điều này xảy ra, nó có khả năng ghi đè lên bộ nhớ lân cận và làm hỏng dữ liệu. Tệ hơn nữa, Tin tặc có thể khai thác lỗi tràn bộ đệm heap để chiếm quyền điều khiển hệ thống và các thiết bị từ xa.
Tin tặc có thể nhắm mục tiêu vào các ứng dụng được biết là có lỗ hổng tràn bộ đệm và gửi cho chúng dữ liệu độc hại. Ví dụ: họ có thể tải lên hình ảnh WebP độc hại triển khai mã trên thiết bị của người dùng khi họ xem nó trong trình duyệt hoặc ứng dụng khác.
Loại lỗ hổng bảo mật tồn tại trong mã được sử dụng rộng rãi như WebP Codec này là một vấn đề nghiêm trọng. Ngoài các trình duyệt chính, vô số ứng dụng sử dụng cùng một codec để hiển thị hình ảnh WebP. Ở giai đoạn này, lỗ hổng CVE-2023-4863 quá phổ biến nên chúng ta không thể biết nó thực sự lớn đến mức nào và việc dọn dẹp sẽ rất lộn xộn.
Sử dụng trình duyệt yêu thích của tôi có an toàn không?
Có, hầu hết các trình duyệt chính đều đã phát hành bản cập nhật để giải quyết vấn đề này. Vì vậy, miễn là bạn cập nhật ứng dụng của mình lên phiên bản mới nhất, bạn có thể duyệt web như bình thường. Google, Mozilla, Microsoft, Brave và Tor đều đã phát hành các bản vá bảo mật và những hãng khác có thể đã làm như vậy vào thời điểm bạn đọc bài viết này.
Các bản cập nhật chứa các bản sửa lỗi cho lỗ hổng cụ thể này là:
- Trình duyệt Chrome: Phiên bản 116.0.5846.187 (Mac/Linux); phiên bản 116.0.5845.187/.188 (Windows)
- Firefox: Firefox 117.0.1; Firefox ESR 115.2.1; Thunderbird 115.2.2
- Bờ rìa: Phiên bản cạnh 116.0.1938.81
- Can đảm: Phiên bản dũng cảm 1.57.64
- Tor: Trình duyệt Tor 12.5.4
Nếu bạn đang sử dụng một trình duyệt khác, hãy kiểm tra các bản cập nhật mới nhất và tìm tài liệu tham khảo cụ thể về lỗ hổng tràn bộ đệm heap CVE-2023-4863 trong WebP. Ví dụ: thông báo cập nhật của Chrome bao gồm tham chiếu sau: “CVE-2023-4863 quan trọng: Tràn bộ đệm heap trong WebP”.
Nếu bạn không thể tìm thấy tài liệu tham khảo về lỗ hổng này trong phiên bản mới nhất của trình duyệt yêu thích của mình, hãy chuyển sang phiên bản được liệt kê ở trên cho đến khi bản sửa lỗi được phát hành cho trình duyệt bạn chọn.
Tôi có an toàn khi sử dụng các ứng dụng yêu thích của mình không?
Đây là nơi nó trở nên khó khăn. Thật không may, lỗ hổng CVE-2023-4863 WebP cũng ảnh hưởng đến một số ứng dụng chưa xác định. Thứ nhất, bất kỳ phần mềm nào sử dụng thư viện libwebp bị ảnh hưởng bởi lỗ hổng này, điều đó có nghĩa là mỗi nhà cung cấp sẽ cần phát hành các bản vá bảo mật của riêng mình.
Vấn đề trở nên phức tạp hơn khi lỗ hổng này được đưa vào nhiều framework phổ biến dùng để xây dựng ứng dụng. Trong những trường hợp này, các khung cần cập nhật trước, sau đó, các nhà cung cấp phần mềm sử dụng chúng cần cập nhật lên phiên bản mới nhất để bảo vệ người dùng của họ. Điều này khiến người dùng bình thường rất khó biết ứng dụng nào bị ảnh hưởng và ứng dụng nào đã giải quyết được vấn đề.
làm cho windows 10 trông giống như windows xp
Như được phát hiện bởi Alex Ivanovs trên Nhật ký ngăn xếp , các ứng dụng bị ảnh hưởng bao gồm Microsoft Teams, Slack, Skype, Discord, Telegram, 1Password, Signal, LibreOffice và bộ Affinity—trong số nhiều ứng dụng khác.
1Password đã phát hành bản cập nhật để giải quyết vấn đề, mặc dù trang thông báo của nó có lỗi đánh máy đối với ID lỗ hổng CVE-2023-4863 (kết thúc bằng -36, thay vì -63). Apple cũng có phát hành bản vá bảo mật cho macOS điều đó dường như giải quyết được cùng một vấn đề, nhưng nó không đề cập cụ thể đến vấn đề đó. Tương tự như vậy, Slack phát hành bản cập nhật bảo mật vào ngày 12 tháng 9 (phiên bản 4.34.119) nhưng không tham chiếu CVE-2023-4863.
Cập nhật mọi thứ và tiến hành cẩn thận
Với tư cách là người dùng, điều duy nhất bạn có thể làm đối với lỗ hổng CVE-2023-4863 WebP Codex là cập nhật mọi thứ. Bắt đầu với mọi trình duyệt bạn sử dụng, sau đó tìm hiểu các ứng dụng quan trọng nhất của bạn.
Kiểm tra các phiên bản phát hành mới nhất cho mọi ứng dụng bạn có thể và tìm tài liệu tham khảo cụ thể về ID CVE-2023-4863. Nếu bạn không thể tìm thấy tài liệu tham khảo về lỗ hổng này trong ghi chú phát hành mới nhất, hãy cân nhắc chuyển sang một giải pháp thay thế an toàn cho đến khi ứng dụng ưa thích của bạn giải quyết được vấn đề. Nếu đây không phải là một lựa chọn, hãy kiểm tra các bản cập nhật bảo mật được phát hành sau ngày 12 tháng 9 và tiếp tục cập nhật ngay khi các bản vá bảo mật mới được phát hành.
Điều này không đảm bảo rằng CVE-2023-4863 sẽ được xử lý nhưng đó là tùy chọn dự phòng tốt nhất mà bạn có vào thời điểm này.
WebP: Một giải pháp tốt với câu chuyện cảnh báo
Google ra mắt WebP vào năm 2010 như một giải pháp hiển thị hình ảnh nhanh hơn trong trình duyệt và các ứng dụng khác. Định dạng này cung cấp tính năng nén không mất dữ liệu và không mất dữ liệu, có thể giảm kích thước tệp hình ảnh xuống ~ 30% trong khi vẫn duy trì chất lượng có thể cảm nhận được.
Về mặt hiệu suất, WebP là một giải pháp tốt để giảm thời gian kết xuất. Tuy nhiên, đây cũng là một câu chuyện cảnh báo về việc ưu tiên một khía cạnh hiệu suất cụ thể hơn những khía cạnh khác—cụ thể là bảo mật. Khi sự phát triển nửa vời đáp ứng được việc áp dụng rộng rãi, nó sẽ tạo ra một cơn bão hoàn hảo cho các lỗ hổng nguồn. Và với tình trạng khai thác zero-day ngày càng gia tăng, các công ty như Google cần nâng cấp trò chơi của họ hoặc các nhà phát triển sẽ phải xem xét kỹ lưỡng công nghệ hơn.