漏洞描述
WebP是由Google開發的一種柵格圖形文件格式，旨在取代JPEG、PNG和GIF文件格式，libwebp是其解析處理的標準實現，被Chromium、Firefox、FFmpeg等眾多客戶端及服務端上層應用程序、其他語言組件所依賴。
0.5.0到1.3.1版本的libwebp在解析無損的 webp圖片時，會使用霍夫曼編碼（Huffman coding） 來構造霍夫曼編碼表，并進行解碼得到原始圖像。在分配霍夫曼編碼表的內存空間時，解碼器提前會將所有一級表和二級表的空間一起分配出來。但是由于霍夫曼編碼表數據讀取自圖片，未正確校驗數據大小。當攻擊者構造非法的霍夫曼表時，可以使得表的總內存大小超過預分配的大小，導致堆緩沖區溢出漏洞。
| 漏洞名稱 | libwebp堆緩沖區溢出漏洞 |
|---|---|
| 漏洞類型 | 輸入驗證不恰當 |
| 發現時間 | 2023-09-26 |
| 漏洞影響廣度 | 廣 |
| MPS編號 | MPS-wr17-50l6 |
| CVE編號 | CVE-2023-5129 |
| CNVD編號 | - |
影響范圍
libwebp@[0.5, 1.3.2)
修復方案
將組件 libwebp 升級至 1.3.2 及以上版本
參考鏈接
https://www.oscs1024.com/hd/MPS-wr17-50l6
https://nvd.nist.gov/vuln/detail/CVE-2023-5129
????
免費情報訂閱&代碼安全檢測
OSCS是國內首個開源軟件供應鏈安全社區，社區聯合開發者幫助全球頂級開源項目解決安全問題，并提供實時的安全漏洞情報，同時提供專業的代碼安全檢測工具為開發者免費使用。社區開發者可以通過配置飛書、釘釘、企業微信機器人獲取一手的情報。
免費代碼安全檢測工具： https://www.murphysec.com/?src=osc
免費情報訂閱： https://www.oscs1024.com/cm/?src=osc
具體訂閱方式詳見： https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc
