中文 | EN

CVE-2023-4863 libwebp 종속성 점검 도구

이 도구는 서버의 애플리케이션이나 프로세스가 CVE-2023-4863 libwebp 힙 버퍼 오버플로우(버전 0.5.0 이상)의 영향을 받는지 확인합니다.

운영 환경에서 이 스크립트를 주의하여 실행하세요.

결과 스크린샷

스캔 결과

목차

1. 작동 방식
2. 작동 시나리오
3. 시작하기
4. 커뮤니케이션
5. 라이선스

작동 방식

1. CVE-2023-4863 취약점은 libwebp 버전 0.5.0부터 1.3.1까지 영향을 줍니다. 이 도구는 프로세스가 연 파일과 대상 애플리케이션 파일을 분석하여 영향을 받는 libwebp를 식별합니다.
2. libwebp 버전 0.5.0부터 새로운 내보내기 함수인 WebPCopyPlane과 WebPCopyPixels가 도입되었습니다. 취약한 함수는 VP8LBuildHuffmanTable입니다. 따라서 파일 내에서 이러한 함수 이름을 일치시켜 취약점이 있는 libwebp 버전을 식별할 수 있습니다.
3. 보안 버전 1.3.2에서는 VP8LHuffmanTablesAllocate 함수가 추가되었습니다. 대상 파일이 스트리핑되지 않은 경우, 이 함수도 버전 식별의 기준으로 사용할 수 있습니다.

작동 시나리오

로컬 또는 서버 환경에서 특정 경로, 실행 중인 모든 프로세스의 바이너리 파일, jar 패키지 및 rpm 패키지를 검사하여 libwebp의 취약한 구성 요소에 대한 종속성이 있는지 확인하는 것을 목표로 합니다.

시작하기

1. 액세스 토큰 가져오기

Maven 중앙 저장소에서 구성 요소를 분석하여 영향을 받는 구성 요소의 해시를 얻고, 이 데이터를 지속적으로 업데이트합니다. MurphySec.com의 액세스 토큰으로 인증한 후 이 데이터를 일치에 사용할 수 있으며, 이를 통해 분석 시간을 절약할 수 있습니다.

MurphySec 플랫폼 - 액세스 토큰으로 이동하여 토큰 뒤의 복사 버튼을 클릭하면 액세스 토큰이 클립보드에 복사됩니다.

2. 탐지

특정 디렉토리 경로 스캔

bash libwebp-checker.sh --token Your_Token_From_Console -f /path_you_want_scan/

모든 프로세스 스캔

bash libwebp-checker.sh --token Your_Token_From_Console -p

3. 결과 보기

영향을 받는 파일 이름, 프로세스 ID 및 일치하는 문자열 키워드(예: WebPCopyPlane, WebPCopyPlane)가 출력됩니다. 추가 분석 및 구성 요소 업데이트에 도움이 됩니다.

알려진 취약한 Java 아티팩트

ai.edgestore:engine
app.cash.paparazzi:layoutlib-native-linux
app.cash.paparazzi:native-linux
cn.ellabook:flutter-saassdk
cn.ellabook:saassdk
cn.fly2think:SmartPanorama
cn.fly2think:SmartPanoramaX
cn.rongcloud.sdk:fu_beautifier
com.aiyaapp.aiya:AyEffectSDK
com.computinglaboratory:opencv
com.criteo:jvips
com.eworkcloud.starter:ework-cloud-starter-image
com.eworkcloud:ework-cloud-starter-image
com.facebook.fresco:webpsupport
com.facebook.spectrum:spectrum-webp
com.freeletics.fork.paparazzi:layoutlib-native-linux
com.github.gotson:webp-imageio
com.github.jenly1314.WeChatQRCode:opencv-armv64
com.github.jenly1314.WeChatQRCode:opencv-armv7a
com.github.jenly1314.WeChatQRCode:opencv-x86
com.github.jenly1314.WeChatQRCode:opencv-x86_64
com.github.usefulness:webp-imageio
com.github.zjupure:webpdecoder
com.innov8tif.okaycam:opencv
com.innov8tif.okayid:opencv
com.scanzy:ScanzyBarcodeScannerSDK
com.waicool20.skrypton:skrypton-native-linux64
de.marcreichelt:webp-backport
de.sg-o.lib:opencv
id.mob:api-client
io.bitbucket.mobscannersdk:customdocscannerlib
io.bitbucket.mobscannersdk:docscannerlib
io.github.anylifezlb:slientEngine
io.github.darkxanter:webp-imageio
io.github.greycode:ocrlite
io.github.humbleui:skija-linux
io.github.humbleui:skija-linux-x64
io.github.izuiyou:octoflutter
io.github.jiemakel:octavo-assembly_2.12
io.github.zumikua:webploader-desktop
io.johnsonlee.layoutlib:native-linux
io.tiledb:tiledb-cloud-java
net.ifok.image:webp4j
org.demen.android.opencv:opencv
org.demen.android.opencv:opencv-img
org.demen.android.opencv:opencv_world
org.godotengine:godot
org.jetbrains.skiko:skiko-awt-runtime-linux-arm64
org.jetbrains.skiko:skiko-awt-runtime-linux-x64
org.jetbrains.skiko:skiko-jvm-runtime-linux-arm64
org.jetbrains.skiko:skiko-jvm-runtime-linux-x64
org.lucee:sejda-webp
org.openpnp:opencv
org.pireco:kypsdk
org.robolectric:nativeruntime-dist-compat
org.sejda.imageio:webp-imageio
org.sejda.webp-imageio:webp-imageio-sejda
science.aist:aistcv

커뮤니케이션

공식 WeChat 계정에 문의하시면 그룹에 추가해 드립니다.

라이선스

Apache 2.0