CVE-2023-4863: fallo de gravedad alta en Google libwebp
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
Prioriza la corrección. Ella está bajo explotación confirmada por CISA y tiene prueba de concepto pública.
Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
Un defecto en la biblioteca libwebp permitía que atacantes bloquearan su navegador o ejecutaran código malicioso al enviarle una página web especialmente diseñada con una imagen problemática. Esto ocurre porque la biblioteca no verifica adecuadamente los límites de memoria al procesar ciertos datos de imagen.
Desbordamiento de buffer en heap en libwebp permite que un atacante remoto escriba más allá de los límites de memoria asignada mediante contenido WebP manipulado incrustado en HTML. La explotación requiere solo interacción del usuario (visitar una página maliciosa); la explotación exitosa puede resultar en ejecución arbitraria de código con privilegios del navegador.
El análisis completo de esta CVE está disponible en portugués →
En el mismo producto, de las más peligrosas a las menos.