- Google, yakın zamanda Chrome için kararlı bir güncelleme yayınladı; buna Apple’ın SEAR ekibinin bildirdiği WebP görüntü kütüphanesindeki heap buffer overflow güvenlik düzeltmesi de dahil
- Bilinen güvenlik açığı CVE-2023-4863, halihazırda gerçek saldırılarda istismar ediliyor; yani birileri bu güvenlik açığını kullanan bir exploit kullanıyordu
- Yazı, CVE-2023-4863 için teknik analiz ve "WebP 0day" olarak da bilinen bir proof-of-concept tetikleyici sunuyor
- Güvenlik açığı, WebP’nin "kayıpsız sıkıştırma" desteğinde bulunuyor; bu, piksellerin %100 doğrulukla saklanıp geri yüklenebildiği kayıpsız bir görüntü biçimi
- Güvenlik açığının, Huffman kodlarının karmaşıklığı ve hatayı tetiklemek için gereken belirli koşullar göz önüne alındığında, büyük olasılıkla manuel kod incelemesiyle bulunmuş olması muhtemel
- Hata, yaygın olarak kullanılan bir açık kaynak kütüphanesindeki güçlü bir zafiyet ve fuzz edilmesi zor olduğu için önemli bir güvenlik sorunu oluşturuyor
- Hatanın, BLASTPASS saldırısında kullanılanla aynı güvenlik açığı olması oldukça muhtemel; bu saldırı, iMessage’e yönelik bir "zero-click" exploit kullanarak NSO Group’un Pegasus casus yazılımını dağıtmakla ilişkili
- Yazı, bu saldırıların nasıl çalıştığına dair temel teknik ayrıntıları şimdilik saklı tutmanın, saldırganlardan çok savunucuların yararına olduğunu ve bunun bir bilgi asimetrisi yarattığını öne sürüyor
- Yazar, güvenliği artırmak için proaktif kaynak kodu incelemesine daha fazla yatırım yapılması ve parser’ların uygun şekilde sandbox içine alınmasına odaklanılması çağrısında bulunuyor
1 yorum
Hacker News görüşleri