Chrome: estouro de buffer de heap no WebP

• A equipe do Chrome anunciou uma atualização para a versão estável e para o canal estável estendido.
• As versões atualizadas são 116.0.5845.187 para Mac e Linux, e 116.0.5845.187/.188 para Windows.
• O canal estável estendido foi atualizado para 116.0.5845.188 no Windows e 116.0.5845.187 no Mac.
• Esta atualização será distribuída gradualmente ao longo dos próximos dias e semanas.
• A atualização inclui uma correção de segurança para um problema importante identificado como CVE-2023-4863.
• Esse problema é um estouro de buffer de heap no WebP, relatado pela Apple Security Engineering and Architecture (SEAR) e pelo The Citizen Lab da Munk School da Universidade de Toronto.
• O Google está ciente de que já existe um exploit para a CVE-2023-4863 em uso real.
• Muitos bugs de segurança do Chrome são detectados com ferramentas como AddressSanitizer, MemorySanitizer, UndefinedBehaviorSanitizer, Control Flow Integrity, libFuzzer e AFL.
• A equipe do Chrome agradece a todos os pesquisadores de segurança que trabalharam junto durante o ciclo de desenvolvimento para evitar que bugs de segurança chegassem ao canal estável.
• Se quiser mudar de canal de lançamento, você pode ver como fazer isso no site do Chrome.
• Se descobrir um novo problema, é recomendável enviar um relatório de bug. O fórum de ajuda da comunidade também oferece ajuda e informações sobre problemas comuns.

[GN⁺]

Comentários no Hacker News

• O Google Chrome decodifica imagens WebP dentro do renderizador, limitando a vulnerabilidade potencial apenas à execução de código no renderizador.
• Devido à complexidade do renderizador, inúmeras vulnerabilidades surgem todos os anos, mas a execução bem-sucedida de código no renderizador não amplia muito os privilégios de acesso além daqueles que uma página da web normalmente já possui.
• A adoção de formatos mais novos, como WebP, pode introduzir vulnerabilidades de segurança apesar das vantagens modestas em relação a formatos já estabelecidos, como JPEG.
• Esse problema deve ser corrigido nas próximas versões Firefox 117.0.1 e Fenix 117.1.0.
• No crate image existe um decodificador WebP com implementação segura em Rust, que potencialmente poderia ser adotado pelo Chromium de acordo com sua política de permitir dependências em Rust.
• O commit original que causou o bug otimizou o decodificador Huffman, mas não considerou a possibilidade de que uma árvore de Huffman de uma fonte não confiável levasse a um nbits grande, fazendo a alocação sofrer overflow.
• O bug foi identificado pela Apple e parece ser semelhante ao das atualizações de segurança que ela publicou.
• Codecs de imagem têm um histórico de vulnerabilidades devido à natureza complexa do processamento de imagens e à pressão por otimizações de desempenho.
• Não está claro se esse problema afeta o Electron e, em caso afirmativo, quais versões seriam afetadas.
• Essa vulnerabilidade destaca a importância de executar o navegador em uma VM, como faz o Pentágono, ou de usar PDFs achatados para fins de segurança.