Google libwebp 代码执行漏洞(CVE-2023-5129)安全风险通告

● 点击↑蓝字关注我们，获取更多安全风险通告

漏洞概述
漏洞名称	Google libwebp 代码执行漏洞
漏洞编号	QVD-2023-22832、CVE-2023-5129
公开时间	2023-09-25	影响对象数量级	亿级
奇安信评级	高危	CVSS 3.1分数	10
威胁类型	代码执行	利用可能性	高
POC状态	已公开	在野利用状态	已发现
EXP状态	未公开	技术细节状态	已公开
危害描述：成功利用该漏洞可以在目标系统上执行任意代码。

漏洞详情

>>>>

影响组件

Libwebp是一个开源的用于编码和解码WebP图像格式的C/C++库。它提供了一组函数和工具，用于将图像数据编码为WebP格式，并将WebP格式的图像解码为原始图像数据。Libwebp库可以作为其他程序的依赖库，用于添加WebP图像格式的支持。Libwebp应用范围非常广泛，被使用到各个软件上面。

>>>>

影响版本漏洞描述

近日，奇安信CERT监测到Google libwebp代码执行漏洞(CVE-2023-5129)：该漏洞是由于BuildHuffmanTable() 填充二级表时，可能会出现写入越界，成功利用该漏洞可以在目标系统执行任意代码。

鉴于该漏洞已存在在野利用且影响范围极大，建议客户尽快做好自查及防护。

影响范围

>>>>

影响版本

libwebp < 1.3.2

>>>>

其他受影响组件

包含libwebp库的主流浏览器、Linux操作系统以及大量开源软件。

处置建议