CVE-2023-5217
Google Chromium libvpx
2023-10-02
Google Chromium libvpx contains a heap buffer overflow vulnerability in vp8 encoding that allows a remote attacker to potentially exploit heap corruption via a crafted HTML page. This vulnerability could impact web browsers using libvpx, including but not limited to Google Chrome.
Технический анализ и план устранения
Суть уязвимости
CVE-2023-5217 представляет собой критическую уязвимость типа переполнение буфера в куче (Heap Buffer Overflow) в библиотеке libvpx, конкретно в реализации кодировщика VP8. Проблема возникает при обработке специально сформированного контента, что позволяет злоумышленнику вызвать повреждение памяти. В худшем сценарии это может привести к произвольному выполнению кода (RCE) в контексте процесса браузера при посещении вредоносной HTML-страницы. Уязвимость активно эксплуатировалась "в дикой природе" (0-day) до момента публикации исправлений.
Как исправить
Основным способом устранения является обновление программного обеспечения, использующего библиотеку libvpx (браузеры Chrome, Edge, Firefox, Brave и другие), до версий, содержащих исправление.
Для пользователей Google Chrome (Linux/macOS/Windows): Обновите браузер до версии 117.0.5938.132 или выше.
Для системных администраторов (Linux/Debian/Ubuntu):
sudo apt update && sudo apt install --only-upgrade google-chrome-stable
Для системных администраторов (RHEL/CentOS/Fedora):
sudo dnf upgrade google-chrome-stable
Для разработчиков, использующих libvpx напрямую:
Необходимо обновить библиотеку до версии, включающей патч (коммит v1.13.1 или применение специфичного патча для функции vp8_encode_frame).
Временные меры
Если немедленное обновление браузера или библиотеки невозможно, рекомендуется применить следующие компенсационные меры для снижения риска эксплуатации:
Отключение аппаратного ускорения видео: В некоторых случаях это может изменить путь выполнения кода, хотя не гарантирует полную защиту от программного переполнения в libvpx.
Использование политик Content Security Policy (CSP): Ограничьте загрузку медиа-контента только с доверенных источников, чтобы минимизировать риск загрузки вредоносных скриптов, инициирующих кодирование VP8.
Изоляция процессов: Убедитесь, что в браузере включена строгая изоляция сайтов (Site Isolation), чтобы ограничить потенциальный ущерб рамками одного процесса песочницы.
Блокировка потенциально опасных ресурсов: Используйте средства сетевой защиты (WAF/IPS) для фильтрации подозрительного трафика, однако для данной уязвимости этот метод малоэффективен из-за сложности анализа бинарных потоков VP8 на лету.