cve-2023-4863-analysis

Analyse pédagogique de CVE-2023-4863 (dépassement de tampon de tas dans libwebp) avec des outils de détection Blue Team, un scanner WebP statique, un validateur Java défensif et un laboratoire Docker isolé avec analyse mémoire Valgrind.

Informations sur l'encadrant

Informations sur l'étudiant

Informations sur le cours

📌 À propos du projet (CVE-2023-4863)

Ce projet a été préparé pour analyser à des fins pédagogiques la vulnérabilité CVE-2023-4863 (libwebp Heap Buffer Overflow) et pour démontrer concrètement, côté défense (Blue Team), comment de telles anomalies peuvent être détectées dans les systèmes.

Détails de la vulnérabilité

• CVE ID : CVE-2023-4863
• Composant cible : libwebp (bibliothèque de traitement du format d'image WebP)
• Type de vulnérabilité : Heap Buffer Overflow (débordement de la mémoire du tas)
• Niveau de criticité : Critique (CVSS 10.0)

Domaine d'impact de la vulnérabilité

Cette vulnérabilité a directement affecté de nombreux écosystèmes dans le monde du web :

• Les navigateurs web basés sur Chromium, tels que Google Chrome, Microsoft Edge, Brave, Opera
• Les applications de bureau utilisant l'infrastructure Electron / Chromium, telles que 1Password, Signal, Discord, Skype
• Les applications mobiles utilisant libwebp et les composants graphiques des systèmes d'exploitation

Comment se déroule l'attaque ?

1. L'attaquant crée un fichier WebP (format sans perte VP8L) spécialement conçu, contenant une table de Huffman malveillante et asymétrique.
2. Lorsque le système cible tente de traiter l'image, la fonction ReadHuffmanCodes alloue en mémoire un espace inférieur à celui nécessaire pour la table.
3. Lors de la construction de la table (BuildHuffmanTable), une écriture hors limites (Out-Of-Bounds Write) s'effectue au-delà de la zone mémoire allouée.
4. À la suite du débordement mémoire, l'attaquant peut écraser les structures de contrôle adjacentes dans la zone du tas et obtenir la capacité d'exécution de code à distance (RCE).

Composants de défense et de test (orientés Blue Team)

Conformément aux principes de sécurité, aucun code Red Team réel et armé (exploit) n'est conservé dans le système. La vulnérabilité est testée de manière structurelle.

• src/blue_team/webp_scanner.py : analyse statiquement les structures des chunks (fragments) WebP et détecte les tailles anormales.
• src/blue_team/WebpValidator.java : exemple de code défensif Java qui simule des scénarios d'upload de fichiers (file upload), empêche la falsification des tailles grâce à une logique fail-fast et fonctionne sans planter (sans lever d'exception) sur les fichiers corrompus.
• src/red_team/poc.py : générateur de tests à but pédagogique qui ne contient aucun payload réel, mais qui déclare délibérément une fausse taille de chunk de 60 Mo afin de tester si les outils d'analyse Blue Team se déclenchent.
• Docker et Valgrind : un laboratoire entièrement isolé construit avec la version vulnérable libwebp-1.3.1. Analyse dynamique avec Valgrind via le script analyze_memory.sh pour examiner les erreurs mémoire (Invalid Write).

Tableau de bord Web

Les constats de sécurité sont enregistrés via l'infrastructure de journalisation JSON mise en place, puis visualisés de manière asynchrone et en temps réel grâce au tableau de bord Blue Team (HTML/JS/CSS) situé dans le répertoire src/public.

Démo de l'interface