中文 | EN

CVE-2023-4863 libwebp 依存関係チェックツール

このツールは、サーバーのアプリケーションやプロセスが、CVE-2023-4863 libwebp ヒープバッファオーバーフローの影響を受けるかどうかをチェックします（バージョン 0.5.0 以上）。

このスクリプトは本番環境で慎重に実行してください。

結果のスクリーンショット

スキャン結果

仕組み

CVE-2023-4863の脆弱性は、libwebpのバージョン0.5.0から1.3.1に影響します。このツールは、プロセスが開いているファイルと対象アプリケーションファイルを分析することで、影響を受けるlibwebpを特定します。
libwebpバージョン0.5.0以降、新しいエクスポート関数 WebPCopyPlane と WebPCopyPixels が導入されました。脆弱な関数は VP8LBuildHuffmanTable です。したがって、ファイル内でこれらの関数名を照合することで、脆弱性のあるlibwebpバージョンを特定できます。
セキュリティバージョン1.3.2では、VP8LHuffmanTablesAllocate 関数が追加されました。対象ファイルがstripされていない場合、この関数もバージョン識別の基準として使用できます。

動作シナリオ

ローカル環境またはサーバー環境において、特定のパス、実行中のすべてのプロセスのバイナリファイル、jarパッケージ、rpmパッケージを検査し、libwebpの脆弱なコンポーネントに依存関係があるかどうかを判定することを目的としています。

はじめに

1. アクセストークンを取得

Maven Central Repositoryからコンポーネントを分析し、影響を受けるコンポーネントのハッシュを取得し、このデータを継続的に更新しています。MurphySec.comのアクセストークンで認証した後、このデータを照合に使用できます。これにより分析時間を節約できます。

MurphySecプラットフォーム - アクセストークンにアクセスし、トークンの後ろにあるコピーボタンをクリックすると、アクセストークンがクリップボードにコピーされます。

2. 検出

特定のディレクトリパスをスキャン

bash libwebp-checker.sh --token Your_Token_From_Console -f /path_you_want_scan/

すべてのプロセスをスキャン

bash libwebp-checker.sh --token Your_Token_From_Console -p

3. 結果を表示

影響を受けるファイル名、プロセスID、マッチした文字列キーワード（WebPCopyPlane,WebPCopyPlaneなど）が表示されます。さらに分析を進め、コンポーネントを更新するのに役立ちます。

既知の脆弱性があるJavaアーティファクト

ai.edgestore:engine
app.cash.paparazzi:layoutlib-native-linux
app.cash.paparazzi:native-linux
cn.ellabook:flutter-saassdk
cn.ellabook:saassdk
cn.fly2think:SmartPanorama
cn.fly2think:SmartPanoramaX
cn.rongcloud.sdk:fu_beautifier
com.aiyaapp.aiya:AyEffectSDK
com.computinglaboratory:opencv
com.criteo:jvips
com.eworkcloud.starter:ework-cloud-starter-image
com.eworkcloud:ework-cloud-starter-image
com.facebook.fresco:webpsupport
com.facebook.spectrum:spectrum-webp
com.freeletics.fork.paparazzi:layoutlib-native-linux
com.github.gotson:webp-imageio
com.github.jenly1314.WeChatQRCode:opencv-armv64
com.github.jenly1314.WeChatQRCode:opencv-armv7a
com.github.jenly1314.WeChatQRCode:opencv-x86
com.github.jenly1314.WeChatQRCode:opencv-x86_64
com.github.usefulness:webp-imageio
com.github.zjupure:webpdecoder
com.innov8tif.okaycam:opencv
com.innov8tif.okayid:opencv
com.scanzy:ScanzyBarcodeScannerSDK
com.waicool20.skrypton:skrypton-native-linux64
de.marcreichelt:webp-backport
de.sg-o.lib:opencv
id.mob:api-client
io.bitbucket.mobscannersdk:customdocscannerlib
io.bitbucket.mobscannersdk:docscannerlib
io.github.anylifezlb:slientEngine
io.github.darkxanter:webp-imageio
io.github.greycode:ocrlite
io.github.humbleui:skija-linux
io.github.humbleui:skija-linux-x64
io.github.izuiyou:octoflutter
io.github.jiemakel:octavo-assembly_2.12
io.github.zumikua:webploader-desktop
io.johnsonlee.layoutlib:native-linux
io.tiledb:tiledb-cloud-java
net.ifok.image:webp4j
org.demen.android.opencv:opencv
org.demen.android.opencv:opencv-img
org.demen.android.opencv:opencv_world
org.godotengine:godot
org.jetbrains.skiko:skiko-awt-runtime-linux-arm64
org.jetbrains.skiko:skiko-awt-runtime-linux-x64
org.jetbrains.skiko:skiko-jvm-runtime-linux-arm64
org.jetbrains.skiko:skiko-jvm-runtime-linux-x64
org.lucee:sejda-webp
org.openpnp:opencv
org.pireco:kypsdk
org.robolectric:nativeruntime-dist-compat
org.sejda.imageio:webp-imageio
org.sejda.webp-imageio:webp-imageio-sejda
science.aist:aistcv

コミュニケーション

公式WeChatアカウントに連絡していただければ、グループに追加します。

ライセンス

Apache 2.0

libwebp-checker

人気