Chrome: se produce un desbordamiento de búfer en el heap en WebP

• El equipo de Chrome anunció una actualización para la versión estable y el canal Extended Stable.
• Las versiones actualizadas son 116.0.5845.187 para Mac y Linux, y 116.0.5845.187/.188 para Windows.
• El canal Extended Stable se actualizó a 116.0.5845.188 para Windows y 116.0.5845.187 para Mac.
• Esta actualización se implementará gradualmente durante los próximos días y semanas.
• La actualización incluye una corrección de seguridad para un problema importante identificado como CVE-2023-4863.
• Este problema es un desbordamiento de búfer en el heap en WebP, reportado por Apple Security Engineering and Architecture (SEAR) y The Citizen Lab de la Munk School de la Universidad de Toronto.
• Google tiene conocimiento de que existe código de explotación para CVE-2023-4863 en circulación.
• Muchos errores de seguridad de Chrome se detectan usando herramientas como AddressSanitizer, MemorySanitizer, UndefinedBehaviorSanitizer, Control Flow Integrity, libFuzzer y AFL.
• El equipo de Chrome agradece a todos los investigadores de seguridad que colaboraron durante el ciclo de desarrollo para evitar que los errores de seguridad lleguen al canal estable.
• Si quieres cambiar de canal de lanzamiento, puedes consultar cómo hacerlo en el sitio web de Chrome.
• Si encuentras un problema nuevo, se recomienda reportar el bug. El foro de ayuda de la comunidad también ofrece ayuda e información sobre problemas comunes.

[GN⁺]

Opiniones en Hacker News

• Google Chrome decodifica imágenes WebP dentro del renderizador, lo que limita la posible vulnerabilidad solo a la ejecución de código en el renderizador.
• Debido a la complejidad del renderizador, cada año surgen numerosas vulnerabilidades, pero una ejecución de código exitosa en el renderizador no amplía mucho más los permisos de acceso que normalmente tiene una página web.
• La adopción de formatos nuevos como WebP puede introducir vulnerabilidades de seguridad, a pesar de ofrecer ventajas mínimas frente a formatos existentes como JPEG.
• Se espera que este problema se solucione en los próximos lanzamientos de Firefox 117.0.1 y Fenix 117.1.0.
• En el crate de imágenes existe un decodificador WebP con una implementación segura en Rust, que Chromium podría adoptar potencialmente de acuerdo con su política que permite dependencias en Rust.
• El commit original que provocó el bug optimizó el decodificador Huffman, pero no consideró la posibilidad de que un árbol Huffman de una fuente no confiable provocara un nbits grande y que la asignación se desbordara.
• Apple identificó este bug, y parece similar a la actualización de seguridad que publicó.
• Los códecs de imagen tienen un historial de vulnerabilidades debido a la naturaleza compleja del procesamiento de imágenes y a la presión por optimizar el rendimiento.
• No está claro si este problema afecta a Electron y, de ser así, a qué versiones afecta.
• Esta vulnerabilidad resalta la importancia de ejecutar el navegador dentro de una VM, como hace el Pentágono, o de usar PDF aplanados con fines de seguridad.