Компания Google опубликовала обновление браузера Chrome 117.0.5938.132, в котором устранена уязвимость (CVE-2023-5217) в библиотеке libvpx, приводящая к переполнению буфера при использовании функций кодирования в формате VP8. В отличие от недавно выявленной уязвимости в декодировщике изображений в формате WebP проблеме в кодировщике VP8 присвоен высокий, но не критический уровень опасности, т.е. проблема не позволяет обойти все уровни защиты браузера и для выполнения кода в системе за пределами sandbox-окружения требуется задействование ещё каких-то уязвимостей. При этом уязвимость выявлена в ходе анализа существующего в сети рабочего эксплоита, который применялся злоумышленниками для совершения атак (0-day).

Уязвимость позволяет выполнить свой код при открытии специально оформленной web-страницы, вызывающей функции кодирования в формате VP8. Проблема присутствует в libvpx и всех приложениях, использующих данную библиотеку, движок Chromium или платформу Electron, но для эксплуатации необходимо наличие возможности выполнения своего JavaScript-кода в приложении, т.е. проблема затрагивает в основном браузеры. Вероятно (пока не подтверждено) уязвимость также проявляется в Firefox, так как в данном браузере для обработки формата VP8 также используется библиотека libvpx. Исправление уязвимости пока доступно только в виде патча.

Напомним, что критическая уязвимость в libwebp, могла быть эксплуатирована при обработке специально оформленного изображения и затронула Chrome, Safari, Firefox, Thunderbird и многочисленные продукты, использующие libwebp, движок Chromium или платформу Electron, например, Discord, GitHub Desktop, Mattermost, Signal, Edge, Brave, Opera, Slack, Twitch, Visual Studio Code, Android, 1Password и Telegram.

Дополнительно можно отметить раскрытие информации об уязвимости в JIT-движке Firefox, позволявшей добиться выполнения кода при открытии пользователем специально оформленной страницы. Уязвимость (CVE не присвоен) была вызвана
некорректной инициализацией памяти в коде преобразования булевых параметров в JIT. Уявзимость устранена в октябре прошлого года в выпуске Firefox 106.

Источник: http://www.opennet.ru/opennews/art.shtml?num=59838