Google и Mozilla пуснаха спешни актуализации срещу уязвимост, позволяваща хакване на потребители чрез WebP изображения

Традиционният файл с изображение трябва да съдържа само графики и метаданни, които са полезни за показването на изображение или поредица от изображения на екрана, но нещата са станали много по-сложни от това и едно „просто“ WebP изображение вече може да се превърне в злонамерен вектор, който да бъде използван в операции по киберпрестъпления.

Наскоро Google пусна нова актуализация за своя уеб браузър Chrome за всички поддържани операционни системи за персонални компютри, която има за цел да отстрани активно експлоатирана уязвимост в сигурността. Засега не са известни подробности за уязвимостта, но проблемът засяга браузъри и интернет клиенти, разработени и от други компании.

Проследена като CVE-2023-4863, уязвимостта е свързана с „препълване на буфера“ при обработка на WebP. Чрез тази уязвимост отдалечен нападател може да се възползва от дефекта, за да извърши запис в паметта извън заделения буфер чрез изработена HTML страница, което може да доведе до произволно (и вероятно злонамерено) изпълнение на код.

WebP се поддържа от множество браузъри, базирани на Chromium, включително Edge, Opera и Vivaldi, както и от редактори на изображения.

Този недостатък засяга и уеб браузъри и други интернет инструменти, разработени от Mozilla. Сред разработчиците на браузъри от трети страни коментар предостави само представител на Vivaldi – той заяви, че от компанията следят отблизо базата на Chromium и предприемат незабавни действия при пускане на актуализации за сигурност, като понякога реагира още същия ден.

Както Mozilla, така и Google решиха засега да не разкриват конкретни подробности за грешката, тъй като специално подготвените атаки все още продължават и потребителите ще се нуждаят от време, за да изтеглят и инсталират актуализациите.