跳到主要内容

高危

Google Chromium libwebp堆缓存区溢出漏洞

2023-09-12 00:00:00 公开 ，2026-07-07 22:15:23 更新

  • 关键漏洞
  • CISA KEV
  • 供应链漏洞
  • 间谍软件漏洞
  • 远程
  • 无需认证
  • CWE Top 25 (2023)
  • 开源组件漏洞
  • CWE Top 25 (2024)
  • 公开PoC
CWEs：
CWE-122 （Heap-based Buffer Overflow） 、 CWE-787 （Out-of-bounds Write）
SSVC：
可利用状态：已被积极利用攻击自动化：否技术影响评估：全部 2023-11-28 13:00:18

风险信息

CVSS v3 向量
AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS v3 风险值
8.8
CVSS v3.1 向量
AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS v3.1 风险值
8.8

详细信息

漏洞类型
其他
漏洞描述
Google Chrome 116.0.5845.187之前版本的libWebP中存在堆缓冲区溢出漏洞，这是由libwebP库不正确的边界检查引起的。远程攻击者可以通过特制的HTML页面执行越界内存写入，并在系统上执行任意代码，或者导致应用程序崩溃。libwebp是广泛使用的代码库，该代码库是Google在十多年前创建的，用于渲染当时新的WebP图形格式。Libwebp又被纳入大约70个下游库，这些库又包含在其他库和流行应用程序中。例如，名为Electron的受影响中间库在Microsoft Teams、Slack、Skype、Discord和Signal Messenger的桌面版本等中运行。用户应该从https://archlinux.org/packages/extra/x86_64/libwebp/等排查受影响的组件库。
修复建议
1、升级至Google Chrome最新版本（116.0.5845.187或116.0.5845.188或更高版本），可从Google Chrome Release网站获得： 2、其它受影响的中间库或应用请参考相关厂家网站。 https://chromereleases.googleblog.com/

参考链接