WebP è vulnerabilie, aggiornamenti obbligatori

WebP è un formato aperto per la compressione delle immagini basato sul codec video VP8. Essendo stato lanciato da Google si tratta di uno standard particolarmente indicato per l'uso sui siti Web, dove mostrare immagini di alta qualità tramite file di dimensioni contenute. Fin qui, o per meglio dire fino ad ora, tutto bene, se non fosse per il fatto che nelle scorse ore sia gli sviluppatori di Chrome che quelli di Firefox hanno rilasciato degli aggiornamenti che correggono un pericolosa vulnerabilità presente in WebP.

Un problema di heap buffer overflow

I dettagli di questo problema di sicurezza sono descritti nel dettaglio nel bollettino CVE-2023-4863. Prima di approfondire le caratteristiche della falla è però bene precisare che essa coinvolge qualsiasi software che possa utilizzare WebP. Quindi non soltanto le applicazioni per la navigazione Web. Il rischio è nello specifico quello di un heap buffer overflow che si verifica quando un software scrive più dati di quanti una memoria buffer sia in grado di gestire.

⚠️ Critical Security Update: Mozilla is urgently fixing a zero-day #vulnerability (CVE-2023-4863), actively exploited in browsers. It can be triggered by tricking victims into opening a malicious WebP image.

Read: https://t.co/ATr1qrRsRA#cybersecurity

— The Hacker News (@TheHackersNews) September 13, 2023

Sfruttando questa tecnica si possono generare dei comportamenti imprevisti, come per esempio l'arresto anomalo dell'applicazione che gestisce un WebP. Nel peggiore dei casi, invece, un utente malintenzionato potrebbe eseguire arbitrariamente del codice nel sistema della vittima. La vulnerabilità sarebbe stata identificata in libwebp, libreria che permette appunto la visualizzazione dei contenuti WebP, mentre il merito della sua scoperta andrebbe agli esperti di sicurezza di Adobe SEAR (Security Engineering and Architecture) e ai ricercatori canadesi dell'Università di Toronto.

La dinamica dell'attacco

Per dar luogo ad un attacco basato su questa falla l'autore dovrebbe creare un'immagine WebP apposita. Una volta aperta dall'utente del terminale target e attivato il buffer overflow a carico dell'heap verrà spianata la strada per una violazione da remoto.

Come anticipato i browser non sono gli unici programmi a rischio, non a caso Mozilla ha dovuto patchare anche il client di posta elettronica Thunderbird. Stesso discorso per quanto riguarda i sistemi operativi in quanto parliamo di una vulnerabilità cross-platform. Ad oggi sarebbero stati già registrati diversi attacchi basati su questa vulnerabilità.