CVEノート

定番の脆弱性 › CVE-2023-4863

libwebp（CVE-2023-4863）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

過去の事例 この記事は過去に話題になった脆弱性の解説です。現在の状況は公式情報でご確認ください。

基本情報（データから表示）

通称libwebp
CVE番号CVE-2023-4863
いつ起きたかNVD に登録された日: 2023-09-12
KEV に追加された日: 2023-09-13
製品Google Chromium WebP
深刻度（CVSS）8.8 重要CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-787

何が起きた

WebP という画像の形式を扱う部品 libwebp に見つかった弱点で、実際に悪用が確認されました。細工した HTML のページを開かせることで、離れた場所にいる攻撃者が、メモリの決められた範囲の外に書き込めるおそれがありました。攻撃には、利用者がページを開くなどの操作が必要でした。この部品は Google Chrome のほか、WebP の画像を扱う多くのアプリでも使われています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が細工したページを用意する → 2. 利用者がそのページを開く → 3. メモリの範囲の外に書き込まれる1攻撃者が細工したページを用意する2利用者がそのページを開く3メモリの範囲の外に書き込まれる攻撃の流れ: 1. 攻撃者が細工したページを用意する → 2. 利用者がそのページを開く → 3. メモリの範囲の外に書き込まれる1攻撃者が細工したページを用意する2利用者がそのページを開く3メモリの範囲の外に書き込まれる

誰が影響を受ける

Google Chrome の 116.0.5845.187 より前のバージョンを使っている人が影響を受けました。libwebp そのものは、1.3.2 より前の版が影響を受けました。libwebp を使って WebP の画像を扱うほかのアプリも、影響を受ける可能性がありました。

何をすればいい

今でも古いバージョンが使われていないか確認してください。Google Chrome は 116.0.5845.187 以降に更新します。libwebp を組み込んで使っている場合は、1.3.2 以降に更新します。WebP の画像を扱うほかのアプリやブラウザも、それぞれのメーカーの案内に従って更新しましょう。

やることチェックリスト

用語メモ

WebP
Google が作った、ファイルの大きさを小さくできる画像の形式です。
libwebp
WebP の画像を読み書きするための部品（ライブラリ）です。
メモリ
コンピュータがプログラムを動かすときに、データを一時的に置いておく場所のことです。

元データ（英語）

Google Chromium WebP Heap-Based Buffer Overflow Vulnerability

概要（CISA KEV）

Google Chromium WebP contains a heap-based buffer overflow vulnerability that allows a remote attacker to perform an out-of-bounds memory write via a crafted HTML page. This vulnerability can affect applications that use the WebP Codec.

説明（NVD）

Heap buffer overflow in libwebp in Google Chrome prior to 116.0.5845.187 and libwebp 1.3.2 allowed a remote attacker to perform an out of bounds memory write via a crafted HTML page. (Chromium security severity: Critical)

公式情報