Zero day in libwebp met mogelijke grote impact CVE-2023-4863

[BytePhantomX]

Ik merk dat er nog niet heel veel reuring is rondom deze 0-day en daarnaast geven de nieuwsberichten vooral aan dat het Chrome betreft. Dat lijkt onterecht.

Waar gaat het over:
Er is een 0-day gevonden in de libwebp library welke wordt gebruikt voor webp bestanden. Een google alternatief of jpg, png, gif etc. Omdat dit een redelijk standaard library van Google is, zit het in veel meer producten dan alleen Chrome. Denk bijvoorbeeld aan alle Electron apps, Android, Safari, Signal, Whatsapp etc.

De vulnerability (CVE-2023-4863) krijgt nu een 10/10 en maakt remote code execution mogelijk. Hier enkele bronnen:
https://arstechnica.com/s...-for-critical-webp-0-day/
https://beyondmachines.ne...-start-checking-5-x-2-p-u

En deze geeft al aan dat er actief misbruik is van deze kwetsbaarheid:
https://www.helpnetsecurity.com/2023/09/12/cve-2023-4863/

Ben benieuwd hoe andere tweakers tegen deze kwetsbaarheid aankijken en de nog beperkte reuring.

[kodak]

De oorspronkelijke vulnerability CVE-2023-4863 had eerst een CVSS score 8.8. Na details is dat 9.8 geworden. Een tweede vulnerability (CVE-2023-5129) met een score 10 bleek een duplicaat.

9.8 is heel hoog. In een ongunstig geval is het 10/10 en in gunstigere gevallen lager tot veel lager. Het is dus belangrijk dat je bewust bent wat wel van toepassing is en niet zomaar denkt dat een ander het probleem wel op tijd voor je gaat verhelpen. Zeker als je software hebt waar je zeer van afhankelijk bent of gegevens van anderen mee verwerkt worden.

[Wafflestomper]

kodak schreef op vrijdag 29 september 2023 @ 10:39:
De oorspronkelijke vulnerability CVE-2023-4863 had eerst een CVSS score 8.8. Na details is dat 9.8 geworden. Een tweede vulnerability (CVE-2023-5129) met een score 10 bleek een duplicaat.

9.8 is heel hoog. In een ongunstig geval is het 10/10 en in gunstigere gevallen lager tot veel lager. Het is dus belangrijk dat je bewust bent wat wel van toepassing is en niet zomaar denkt dat een ander het probleem wel op tijd voor je gaat verhelpen. Zeker als je software hebt waar je zeer van afhankelijk bent of gegevens van anderen mee verwerkt worden.

Hoe kom jij bij 9.8? De oorspronkelijke staat nog steeds op 8.8 hier - https://nvd.nist.gov/vuln/detail/CVE-2023-4863

[Boudewijn]

kodak schreef op vrijdag 29 september 2023 @ 10:39:
De oorspronkelijke vulnerability CVE-2023-4863 had eerst een CVSS score 8.8. Na details is dat 9.8 geworden. Een tweede vulnerability (CVE-2023-5129) met een score 10 bleek een duplicaat.

9.8 is heel hoog. In een ongunstig geval is het 10/10 en in gunstigere gevallen lager tot veel lager. Het is dus belangrijk dat je bewust bent wat wel van toepassing is en niet zomaar denkt dat een ander het probleem wel op tijd voor je gaat verhelpen. Zeker als je software hebt waar je zeer van afhankelijk bent of gegevens van anderen mee verwerkt worden.

Cvss geeft een indicatie maar de context is ook wel belangrijk. In dit geval lijkt het wel een vrij nare kwetsbaarheid te zijn.

[F_J_K]

Inderdaad - is ergens 'officieel' handhaven van die 9.8 of 10 te vinden?

Neemt niet weg dat je graag Chrome etc volledig uptodate wilt zien. Altijd eigenlijk

[kodak]

De vragen over de CVSS score zijn terecht bij wat ik nu lees. Er staat momenteel een CVSS score van 8.8. Ik zou graag gebruik maken van een officiele history van wijzigingen, maar die lijkt er voor geen enkele vulnerability te zijn. De uiteindelijk als duplicate benoemde vulnerability toont ook geen geschiedenis over de CVSS score (zou 10 zijn geweest) of inhoud. Maar het wijzigt wat mij betreft niets aan mijn stelling.