Chrome : dépassement de tampon de tas dans WebP

• L’équipe Chrome a annoncé une mise à jour pour la version stable et le canal stable étendu.
• Les versions mises à jour sont 116.0.5845.187 pour Mac et Linux, et 116.0.5845.187/.188 pour Windows.
• Le canal stable étendu a été mis à jour vers 116.0.5845.188 pour Windows et 116.0.5845.187 pour Mac.
• Cette mise à jour sera déployée progressivement au cours des prochains jours et des prochaines semaines.
• La mise à jour inclut un correctif de sécurité pour un problème critique identifié sous le nom de CVE-2023-4863.
• Ce problème est un dépassement de tampon de tas dans WebP, signalé par Apple Security Engineering and Architecture (SEAR) et The Citizen Lab de la Munk School de l’Université de Toronto.
• Google sait qu’un code d’exploitation pour CVE-2023-4863 existe réellement.
• De nombreux bugs de sécurité de Chrome sont détectés à l’aide d’outils tels que AddressSanitizer, MemorySanitizer, UndefinedBehaviorSanitizer, Control Flow Integrity, libFuzzer et AFL.
• L’équipe Chrome remercie tous les chercheurs en sécurité qui ont travaillé avec elle pendant le cycle de développement afin d’empêcher que des bugs de sécurité n’atteignent le canal stable.
• Si vous souhaitez changer de canal de publication, vous pouvez consulter la méthode sur le site web de Chrome.
• Si vous découvrez un nouveau problème, il est recommandé de signaler un bug. Le forum d’aide de la communauté fournit également de l’aide et des informations sur les problèmes courants.

[GN⁺]

Avis Hacker News

• Google Chrome décode les images WebP dans le renderer, ce qui limite la vulnérabilité potentielle à l’exécution de code dans le renderer uniquement.
• En raison de la complexité du renderer, de nombreuses vulnérabilités apparaissent chaque année, mais une exécution de code réussie dans le renderer n’augmente généralement pas beaucoup les privilèges d’accès au-delà de ceux qu’une page web possède normalement.
• L’adoption de nouveaux formats comme WebP peut introduire des failles de sécurité malgré des avantages modestes par rapport à des formats existants comme JPEG.
• Ce problème devrait être corrigé dans les prochaines versions Firefox 117.0.1 et Fenix 117.1.0.
• Le crate image dispose d’un décodeur WebP avec une implémentation sûre en Rust, qui pourrait potentiellement être adopté par Chromium conformément à sa politique autorisant les dépendances Rust.
• Le commit d’origine à l’origine du bug optimisait le décodeur Huffman, mais n’a pas pris en compte la possibilité qu’un arbre Huffman provenant d’une source non fiable entraîne une grande valeur de nbits, provoquant un dépassement lors de l’allocation.
• Ce bug a été identifié par Apple et semble similaire à la mise à jour de sécurité qu’ils ont publiée.
• Les codecs d’image ont un historique de vulnérabilités en raison de la nature complexe du traitement d’image et de la pression liée aux optimisations de performance.
• On ne sait pas clairement si ce problème affecte Electron, ni, le cas échéant, quelles versions sont concernées.
• Cette vulnérabilité souligne l’importance d’exécuter les navigateurs dans une VM, comme le fait le Pentagone, ou d’utiliser des PDF aplatis à des fins de sécurité.