中文 | EN

Herramientas de verificación de dependencias libwebp CVE-2023-4863

Esta herramienta verifica si la aplicación o el proceso de tu servidor se ve afectado por el desbordamiento de búfer en el montón de libwebp CVE-2023-4863 (versiones posteriores a 0.5.0).

Ejecuta este script en tu entorno de producción con cuidado.

Captura de pantalla del resultado

Resultado del escaneo

Tabla de contenidos

1. Cómo funciona
2. Escenarios de uso
3. Primeros pasos
4. Comunicación
5. Licencia

Cómo funciona

1. La vulnerabilidad CVE-2023-4863 afecta a las versiones de libwebp desde 0.5.0 hasta 1.3.1. Identifica la libwebp afectada analizando los archivos abiertos de los procesos y los archivos de la aplicación objetivo.
2. A partir de la versión 0.5.0 de libwebp, se introdujeron nuevas funciones de exportación, WebPCopyPlane y WebPCopyPixels. La función vulnerable es VP8LBuildHuffmanTable. Por lo tanto, se pueden identificar las versiones de libwebp con vulnerabilidades comparando estos nombres de funciones en los archivos.
3. En la versión de seguridad 1.3.2, se añadió la función VP8LHuffmanTablesAllocate. Si el archivo objetivo no ha sido "stripped" (sin símbolos), esta función también puede servir como base para la identificación de versiones.

Escenarios de uso

En entornos locales o de servidor, su objetivo es inspeccionar rutas específicas, los archivos binarios de todos los procesos en ejecución, los paquetes jar y los paquetes rpm para determinar si existe una dependencia del componente vulnerable de libwebp.

Primeros pasos

1. Obtén el token de acceso

Analizamos componentes del repositorio central de Maven para obtener hashes de los componentes afectados y mantenemos estos datos actualizados continuamente. Puedes usar estos datos para la comparación después de autenticarte con un token de acceso de MurphySec.com, lo que ayuda a ahorrar tiempo de análisis.

Ve a Plataforma MurphySec - Token de acceso, haz clic en el botón de copiar junto al Token y el token de acceso se copiará al portapapeles.

2. Detección

Escanear una ruta de directorio específica

bash libwebp-checker.sh --token Your_Token_From_Console -f /path_you_want_scan/

Escanear todos los procesos

bash libwebp-checker.sh --token Your_Token_From_Console -p

3. Ver el resultado

Imprimirá los nombres de archivo afectados, los IDs de proceso y las palabras clave de cadena coincidentes, como WebPCopyPlane,WebPCopyPlane. Para ayudar a un análisis posterior y a la actualización del componente.

Artefactos Java vulnerables conocidos

ai.edgestore:engine
app.cash.paparazzi:layoutlib-native-linux
app.cash.paparazzi:native-linux
cn.ellabook:flutter-saassdk
cn.ellabook:saassdk
cn.fly2think:SmartPanorama
cn.fly2think:SmartPanoramaX
cn.rongcloud.sdk:fu_beautifier
com.aiyaapp.aiya:AyEffectSDK
com.computinglaboratory:opencv
com.criteo:jvips
com.eworkcloud.starter:ework-cloud-starter-image
com.eworkcloud:ework-cloud-starter-image
com.facebook.fresco:webpsupport
com.facebook.spectrum:spectrum-webp
com.freeletics.fork.paparazzi:layoutlib-native-linux
com.github.gotson:webp-imageio
com.github.jenly1314.WeChatQRCode:opencv-armv64
com.github.jenly1314.WeChatQRCode:opencv-armv7a
com.github.jenly1314.WeChatQRCode:opencv-x86
com.github.jenly1314.WeChatQRCode:opencv-x86_64
com.github.usefulness:webp-imageio
com.github.zjupure:webpdecoder
com.innov8tif.okaycam:opencv
com.innov8tif.okayid:opencv
com.scanzy:ScanzyBarcodeScannerSDK
com.waicool20.skrypton:skrypton-native-linux64
de.marcreichelt:webp-backport
de.sg-o.lib:opencv
id.mob:api-client
io.bitbucket.mobscannersdk:customdocscannerlib
io.bitbucket.mobscannersdk:docscannerlib
io.github.anylifezlb:slientEngine
io.github.darkxanter:webp-imageio
io.github.greycode:ocrlite
io.github.humbleui:skija-linux
io.github.humbleui:skija-linux-x64
io.github.izuiyou:octoflutter
io.github.jiemakel:octavo-assembly_2.12
io.github.zumikua:webploader-desktop
io.johnsonlee.layoutlib:native-linux
io.tiledb:tiledb-cloud-java
net.ifok.image:webp4j
org.demen.android.opencv:opencv
org.demen.android.opencv:opencv-img
org.demen.android.opencv:opencv_world
org.godotengine:godot
org.jetbrains.skiko:skiko-awt-runtime-linux-arm64
org.jetbrains.skiko:skiko-awt-runtime-linux-x64
org.jetbrains.skiko:skiko-jvm-runtime-linux-arm64
org.jetbrains.skiko:skiko-jvm-runtime-linux-x64
org.lucee:sejda-webp
org.openpnp:opencv
org.pireco:kypsdk
org.robolectric:nativeruntime-dist-compat
org.sejda.imageio:webp-imageio
org.sejda.webp-imageio:webp-imageio-sejda
science.aist:aistcv

Comunicación

Contacta con nuestra cuenta oficial de WeChat y te añadiremos al grupo de comunicación.

Licencia

Apache 2.0