Google ha asignado un nuevo identificador CVE para una falla de seguridad cr\u00edtica en la biblioteca de im\u00e1genes libwebp para representar im\u00e1genes en el Formato WebP<\/a> que ha sido objeto de explotaci\u00f3n activa en la naturaleza.<\/p>\n Seguimiento como CVE-2023-5129<\/strong><\/a>, al problema se le ha otorgado la puntuaci\u00f3n m\u00e1xima de gravedad de 10,0 en el sistema de clasificaci\u00f3n CVSS. Se ha descrito como un problema arraigado en la Algoritmo de codificaci\u00f3n de Huffman<\/a> –<\/p>\n Con un archivo WebP sin p\u00e9rdidas especialmente dise\u00f1ado, libwebp puede escribir datos fuera de los l\u00edmites del mont\u00f3n. La funci\u00f3n ReadHuffmanCodes() asigna el b\u00fafer HuffmanCode con un tama\u00f1o que proviene de una matriz de tama\u00f1os precalculados: kTableSize. El valor color_cache_bits define qu\u00e9 tama\u00f1o usar. La matriz kTableSize solo tiene en cuenta los tama\u00f1os para b\u00fasquedas de tablas de primer nivel de 8 bits, pero no para b\u00fasquedas de tablas de segundo nivel. libwebp permite c\u00f3digos de hasta 15 bits (MAX_ALLOWED_CODE_LENGTH). Cuando BuildHuffmanTable() intenta llenar las tablas de segundo nivel, puede escribir datos fuera de los l\u00edmites. La escritura OOB en la matriz de tama\u00f1o insuficiente ocurre en ReplicateValue.<\/em><\/p>\n El desarrollo se produce despu\u00e9s de que Apple, Google y Mozilla publicaran correcciones para contener un error (rastreado por separado como CVE-2023-41064 y CVE-2023-4863) que podr\u00eda provocar la ejecuci\u00f3n de c\u00f3digo arbitrario al procesar una imagen especialmente dise\u00f1ada. Se sospecha que ambas fallas abordan el mismo problema subyacente en la biblioteca.<\/p>\n Seg\u00fan Citizen Lab, se dice que CVE-2023-41064 se encaden\u00f3 con 2023-41061 como parte de una cadena de exploits de iMessage sin clic llamada BLASTPASS para implementar un software esp\u00eda mercenario conocido como Pegasus. Actualmente se desconocen detalles t\u00e9cnicos adicionales.<\/p>\n Pero la decisi\u00f3n de “alcanzar err\u00f3neamente” CVE-2023-4863 como una vulnerabilidad en Google Chrome contradec\u00eda el hecho de que tambi\u00e9n afecta virtualmente a todas las dem\u00e1s aplicaciones que dependen de la biblioteca libwebp para procesar im\u00e1genes WebP, lo que indica que tuvo un impacto m\u00e1s amplio de lo que se pensaba anteriormente. .<\/p>\n Un an\u00e1lisis de Rezillion la semana pasada revel\u00f3 una larga lista de aplicaciones, bibliotecas de c\u00f3digos, marcos y sistemas operativos ampliamente utilizados que son vulnerables a CVE-2023-4863.<\/p>\n “Este paquete destaca por su eficiencia, superando a JPEG y PNG en t\u00e9rminos de tama\u00f1o y velocidad”, afirma la empresa. dicho<\/a>. “En consecuencia, una multitud de software, aplicaciones y paquetes han adoptado esta biblioteca, o incluso han adoptado paquetes de los que libwebp es su dependencia”.<\/p>\n “La mera prevalencia de libwebp ampl\u00eda significativamente la superficie de ataque, lo que genera serias preocupaciones tanto para los usuarios como para las organizaciones”.<\/p>\n La divulgaci\u00f3n llega como Google expandido<\/a> Correcciones para CVE-2023-4863 para incluir el canal estable para ChromeOS y ChromeOS Flex con el lanzamiento de la versi\u00f3n 15572.50.0 (versi\u00f3n del navegador 117.0.5938.115).<\/p>\n Luche contra la IA con IA: combata las ciberamenazas con herramientas de IA de pr\u00f3xima generaci\u00f3n<\/p>\n <\/a><\/p>\n \u00bfListo para afrontar nuevos desaf\u00edos de ciberseguridad impulsados \u200b\u200bpor la IA? \u00danase a nuestro interesante seminario web con Zscaler para abordar la creciente amenaza de la IA generativa en la ciberseguridad.<\/p>\n Potencia tus habilidades<\/a><\/section>\n Tambi\u00e9n sigue a los nuevos detalles publicados por Google Project Zero sobre la explotaci\u00f3n salvaje de CVE-2023-0266<\/a> y CVE-2023-26083<\/a> en diciembre de 2022 por parte de proveedores comerciales de software esp\u00eda para apuntar a dispositivos Android de Samsung en los Emiratos \u00c1rabes Unidos y obtener acceso de lectura\/escritura arbitrario al kernel.<\/p>\n Se cree que los defectos se utilizaron junto con otros tres defectos: CVE-2022-4262<\/a>, CVE-2022-3038<\/a>, CVE-2022-22706<\/a> \u2013 por un cliente o socio de una empresa espa\u00f1ola de software esp\u00eda conocida como Variston IT.<\/p>\n “Tambi\u00e9n es particularmente digno de menci\u00f3n que este atacante cre\u00f3 una cadena de exploits utilizando m\u00faltiples errores de los controladores de GPU del kernel”, dijo el investigador de seguridad Seth Jenkins. dicho<\/a>. “Estos controladores de Android de terceros tienen distintos grados de calidad del c\u00f3digo y regularidad de mantenimiento, y esto representa una oportunidad notable para los atacantes”.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/09\/Vulnerabilidad-critica-de-libwebp-bajo-explotacion-activa-obtiene-puntuacion-CVSS.png\")
<\/a><\/center><\/section>\n