murphysecurity/libwebp-checkerUma ferramenta para encontrar libwebp vulnerável (CVE-2023-4863)
Chinês | EN
Esta ferramenta verifica se a aplicação ou processo do seu servidor é afetado pela CVE-2023-4863, um overflow de buffer heap do libwebp (versão acima de 0.5.0).
Execute este script no seu ambiente de produção com cuidado.
Resultado da Varredura
WebPCopyPlane e WebPCopyPixels, foram introduzidas. A função vulnerável é VP8LBuildHuffmanTable. Portanto, é possível identificar versões do libwebp com vulnerabilidades ao buscar esses nomes de funções nos arquivos.VP8LHuffmanTablesAllocate foi adicionada. Se o arquivo alvo não foi removido, esta função também pode servir como base para identificação da versão.Em ambientes locais ou servidores, o objetivo é inspecionar caminhos específicos, arquivos binários de todos os processos em execução, pacotes jar e pacotes rpm para determinar se existe dependência do componente vulnerável do libwebp.
Analisamos componentes do Repositório Central Maven para obter hashes dos componentes afetados, e mantemos esses dados continuamente atualizados. Você pode usar esses dados para correspondência após se autenticar com um token de acesso do MurphySec.com, o que ajuda a economizar tempo de análise.
Vá para Plataforma MurphySec - Token de Acesso, clique no botão de cópia após o Token, e então o token de acesso é copiado para a área de transferência.
bash libwebp-checker.sh --token Your_Token_From_Console -f /caminho_que_deseja_verificar/
bash libwebp-checker.sh --token Your_Token_From_Console -p
Ele exibirá os nomes de arquivos afetados, IDs de processo e palavras-chave correspondentes, como WebPCopyPlane,WebPCopyPlane. Para ajudar na análise adicional e na atualização do componente.
ai.edgestore:engine
app.cash.paparazzi:layoutlib-native-linux
app.cash.paparazzi:native-linux
cn.ellabook:flutter-saassdk
cn.ellabook:saassdk
cn.fly2think:SmartPanorama
cn.fly2think:SmartPanoramaX
cn.rongcloud.sdk:fu_beautifier
com.aiyaapp.aiya:AyEffectSDK
com.computinglaboratory:opencv
com.criteo:jvips
com.eworkcloud.starter:ework-cloud-starter-image
com.eworkcloud:ework-cloud-starter-image
com.facebook.fresco:webpsupport
com.facebook.spectrum:spectrum-webp
com.freeletics.fork.paparazzi:layoutlib-native-linux
com.github.gotson:webp-imageio
com.github.jenly1314.WeChatQRCode:opencv-armv64
com.github.jenly1314.WeChatQRCode:opencv-armv7a
com.github.jenly1314.WeChatQRCode:opencv-x86
com.github.jenly1314.WeChatQRCode:opencv-x86_64
com.github.usefulness:webp-imageio
com.github.zjupure:webpdecoder
com.innov8tif.okaycam:opencv
com.innov8tif.okayid:opencv
com.scanzy:ScanzyBarcodeScannerSDK
com.waicool20.skrypton:skrypton-native-linux64
de.marcreichelt:webp-backport
de.sg-o.lib:opencv
id.mob:api-client
io.bitbucket.mobscannersdk:customdocscannerlib
io.bitbucket.mobscannersdk:docscannerlib
io.github.anylifezlb:slientEngine
io.github.darkxanter:webp-imageio
io.github.greycode:ocrlite
io.github.humbleui:skija-linux
io.github.humbleui:skija-linux-x64
io.github.izuiyou:octoflutter
io.github.jiemakel:octavo-assembly_2.12
io.github.zumikua:webploader-desktop
io.johnsonlee.layoutlib:native-linux
io.tiledb:tiledb-cloud-java
net.ifok.image:webp4j
org.demen.android.opencv:opencv
org.demen.android.opencv:opencv-img
org.demen.android.opencv:opencv_world
org.godotengine:godot
org.jetbrains.skiko:skiko-awt-runtime-linux-arm64
org.jetbrains.skiko:skiko-awt-runtime-linux-x64
org.jetbrains.skiko:skiko-jvm-runtime-linux-arm64
org.jetbrains.skiko:skiko-jvm-runtime-linux-x64
org.lucee:sejda-webp
org.openpnp:opencv
org.pireco:kypsdk
org.robolectric:nativeruntime-dist-compat
org.sejda.imageio:webp-imageio
org.sejda.webp-imageio:webp-imageio-sejda
science.aist:aistcv
Entre em contato com nossa conta oficial do WeChat e nós o adicionaremos ao grupo para comunicação.
