Trusted Design

CVE-2023-4863 の詳細

CVEの情報

説明:
Heap buffer overflow in libwebp in Google Chrome prior to 116.0.5845.187 and libwebp 1.3.2 allowed a remote attacker to perform an out of bounds memory write via a crafted HTML page. (Chromium security severity: Critical)

CVE更新日: 2023-09-12 15:15:24.327000

CVSSバージョン: 3.1

CVSSスコア: 8.8

KEVの情報

KEV更新日: 2023-09-13

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.999790000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2023-4863について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2023-4863は、WebP画像フォーマットの処理に使用されるオープンソースライブラリlibwebpにおけるヒープベースのバッファオーバーフローの脆弱性です。特別に細工されたWebP画像を処理する際に、ヒープバッファオーバーフローが引き起こされ、攻撃者が本来アクセスすべきではないメモリ領域に悪意のあるコードを書き込むことが可能になります。

1.1 影響

この脆弱性が悪用されると、リモートからの任意のコード実行 (RCE) が可能になり、結果としてシステムがクラッシュしたり (サービス運用妨害: DoS)、機密情報の漏洩、データの改ざん、システム制御の乗っ取り、さらにはランサムウェアの展開につながる可能性があります。攻撃は、ユーザーが電子メールで送られてきた悪意のあるWebP画像を表示したり、悪意のあるWebP画像が埋め込まれたWebサイトを閲覧したりすることで発生する可能性があります。

1.2 深刻度

  • NVD (NIST National Vulnerability Database): CVSSv3.1 スコア 8.8 (高) であり、Chromiumのセキュリティ深刻度は「Critical（緊急）」と評価されています。
  • Red Hat: CVSSv3 スコア 9.6 と評価し、セキュリティ影響度を「Important（重要）」としています。これは、この脆弱性がデスクトップユーザーにとって非常に低いインタラクションで悪用されるリスクが高いこと、および機密性、完全性、可用性を損なう可能性があるためです。
  • Huntress: CVSS スコア 9.8 とし、非常に高い深刻度と評価しています。
  • この脆弱性は、発見された時点で既に悪用が確認されていたゼロデイ脆弱性です。

2. 対象となる環境

この脆弱性は、WebP画像をエンコードおよびデコードするために使用されるlibwebpライブラリに起因します。

2.1 影響を受けるOSバージョン

この脆弱性は、以下のOSおよびそれらのOS上でlibwebpライブラリを使用するアプリケーションに影響を与えます。

  • macOS, iOS, iPadOS, watchOS
  • 様々なLinuxディストリビューション: Debian, Ubuntu, Alpine, Gentoo, SUSE, Oracle, Amazon, RedHat, Fedora, CloudLinux など。これらのディストリビューションは、libwebpおよびChromiumパッケージのセキュリティ修正をリリースしています。

2.2 影響を受ける設定

libwebpライブラリを使用するすべてのアプリケーションが影響を受ける可能性があります。影響が確認されている主なアプリケーションとバージョンは以下の通りです。

  • Webブラウザ:
    • Google Chrome: バージョン 116.0.5845.187より前のもの
    • Mozilla Firefox: バージョン 117.0.1より前のもの
    • Mozilla Thunderbird
    • Microsoft Edge: バージョン 116.0.1938.81より前のもの
    • Brave, Tor, Opera, Vivaldi
  • Electronベースのアプリケーション:
    • Signal, Telegram, 1Password, Keeper Desktopなど。Electronフレームワークはlibwebpライブラリを利用しているため影響を受けます。
  • その他のアプリケーション:
    • Honeyview, Obsidian, Gimp, ffmpeg, Pillow など、libwebpを利用してWebP画像を処理する汎用ソフトウェアも影響を受けます。
    • WebP Image Extensions (WindowsアプリがWebP画像を表示するために使用されるコンポーネント)。

脆弱なlibwebpライブラリのバージョンは0.5.0から1.3.1までです。

3. 影響を受けた時の兆候

  • アプリケーションのクラッシュまたは予期せぬ終了。
  • 攻撃者による任意のコード実行の結果として、システム内で不審なプロセスが実行される、データが改ざんされる、情報が窃取されるなどの兆候が見られる可能性がありますが、脆弱性自体による直接的な兆候は不明確です。

4. 推奨対策

4.1 本対策

  • libwebpライブラリの更新: libwebpをバージョン1.3.2以降に更新してください。
  • ベンダーパッチの適用: 影響を受けるすべてのブラウザおよびアプリケーションに対し、ベンダーが提供する最新のセキュリティパッチを直ちに適用してください。
    • Google Chrome: 116.0.5845.187以降に更新。
    • Mozilla Firefox: 117.0.1以降に更新。
    • Microsoft Edge: 116.0.1938.81以降に更新。
    • 1Password: 8.10.15以降に更新。
    • Opera: 102.0.4880.46以降に更新。
    • Electronフレームワーク: v22.3.24に更新 (例: Keeper Desktop version 16.10.8)。
  • 利用しているOSのディストリビューションが提供するlibwebpまたはChromium関連のパッケージアップデートを適用してください。

4.2 暫定回避策（緩和策）

  • 脅威防御の活用: Palo Alto NetworksのThreat Preventionサブスクリプションを利用している場合、Threat ID 94394を有効にすることでこの脆弱性による攻撃をブロックできます。
  • アプリケーション分離ソリューション: HP Sure Click Enterpriseのようなアプリケーション隔離ソリューションは、WebブラウジングセッションをセキュアなマイクロVM内に隔離することで、悪意のあるWebP画像に遭遇した場合でもホストPCへの影響を防ぐことができます。ただし、一部のリモートブラウザ隔離技術では、画像が変更されずにローカルブラウザに渡される場合、保護されない可能性があります。
  • ベンダーからのセキュリティアドバイザリを継続的に監視し、更新情報に注意してください。

5. 他に解説すべき観点

  • 発見経緯: この脆弱性は、GoogleのThreat Analysis Group、AppleのSecurity Engineering and Architecture (SEAR)チーム、およびCitizen Labによって報告されました。
  • 関連する脆弱性:
    • CVE-2023-41064 (BLASTPASS): Apple製品に影響を与えたゼロクリックゼロデイ脆弱性で、CVE-2023-4863と非常によく似ている、または同一であると推測されています。
    • CVE-2023-5129: 一時期、この脆弱性に対してCVSSスコア10の新しいCVEとして割り当てられましたが、後にCVE-2023-4863の重複として却下されました。
  • 悪用状況: この脆弱性は、公開時点で既に悪用が確認されており、CISAのKnown Exploited Vulnerabilities Catalogにも追加されています。
  • 共通脆弱性タイプ識別子 (CWE):
    • CWE-122: ヒープベースのバッファオーバーフロー (Heap-based Buffer Overflow)
    • CWE-787: 境界外書き込み (Out-of-Bound Write)

参照したサイト

  • CVE-2023-4863 - Red Hat Customer Portal
  • CVE-2023-4863 Vulnerability: Analysis, Detection, Removal | Huntress
  • Zero Day WebP vulnerability (CVE-2023-4863) - vsociety - Vicarius
  • NVD-CVE-2023-4863 - NIST
  • Exploitation of CVE-2023-4863 in Google Chrome - NHS England Digital
  • CVE-2023-4863 and CVE-2023-5217 Exploited in the Wild | Wiz Blog
  • CVE-2023-4863 Impact of libwebp Vulnerability CVE-2023-4863 - Palo Alto Networks Security Advisories
  • WebPのゼロデイ脆弱性は「Teams」や「Skype」にも ～Microsoftが影響製品を公表【10月10日追記】 - 窓の杜
  • CVE-2023-4863: Critical Vulnerability in Widely Used libwebp Library - Arctic Wolf
  • CVE-2023-4863 | リリースノート | Keeper Documentation Portal
  • WebP画像の脆弱性CVE-2023-4863を探る - HP
  • オープンソースの脆弱性 CVE-2023-4863 および CVE-2023-5217 に対するマイクロソフトの対応
  • JVNDB-2023-003763 - JVN iPedia - 脆弱性対策情報データベース
  • Libwebp Vulnerability and CVE-2023-4863 - What should you be worried about?
  • libwebpの重大なWebP 0-day脆弱性CVE-2023-4863が広範なソフトウェア・エコシステムに影響
  • Threat Advisory: Critical WebP Zero-Day - Todyl
  • CVE-2023-4863 | セキュリティNOW! サイバーセキュリティ情報ポータルサイト - SMS DataTech
  • 最近の重要な libwebp および libvpx の脆弱性に関するガイダンス - Akamai
  • How to counter the CVE-2023-4863 bug? : r/libreoffice - Reddit
  • CVE-2023-4863 Security Vulnerability: CloudLinux Takes Action - Mitigation for CloudLinux OS Servers
  • CVE-2023-4863 Plugins | Tenable®
  • Microsoft Edge セキュリティ更新プログラムのリリースノート
  • libwebp の脆弱性 – SCWヘルプセンター - Secure Code Warrior

NVDサイト

NVDでCVEの詳細を見る

戻る