L’11 settembre Google ha rilasciato un aggiornamento d’emergenza di Chrome per correggere la CVE-2023-4863, un heap buffer overflow nella gestione delle immagini WebP, già sfruttato. La segnalazione era arrivata pochi giorni prima dal team di sicurezza di Apple e da Citizen Lab, il laboratorio canadese che negli stessi giorni aveva descritto una catena di attacco zero-click contro gli iPhone, basata su immagini malevole inviate tramite iMessage.
Se ti fermi al titolo dell’aggiornamento, sembra una faccenda di browser. La falla però sta in libwebp, la libreria open source che decodifica le immagini WebP, e quella libreria è ovunque: Chrome, Firefox, Thunderbird, Android, molte distribuzioni Linux e migliaia di applicazioni, comprese quelle costruite con Electron, come tanti programmi di chat, collaborazione e sviluppo. Per sfruttarla basta far elaborare un’immagine costruita ad arte. Una pagina web, un messaggio, un’anteprima generata in automatico.
Le correzioni stanno arrivando a velocità diverse. Chrome è sistemato dalla 116.0.5845.187, Firefox dalla 117.0.1 e Thunderbird dalla 115.2.2. La libreria corretta è libwebp 1.3.2, che le principali distribuzioni Linux stanno distribuendo. Molte app Electron hanno già pubblicato nuove versioni, altre no. All’inizio Google aveva descritto il problema come limitato a Chrome, e questo non ha aiutato gli altri a muoversi in fretta.
Da dove cominciare
Aggiorna i browser e riavviali davvero: l’aggiornamento non è attivo finché le finestre restano aperte. Sui server e sulle postazioni Linux aggiorna il pacchetto libwebp e riavvia i servizi che elaborano immagini, come generatori di miniature e CMS. Poi passa alle app desktop, soprattutto quelle basate su Electron, e installa le versioni uscite dopo l’11 settembre. Su smartphone e tablet, applica gli aggiornamenti di sicurezza appena arrivano.
Se sviluppi software, il lavoro è più lungo. Verifica se le tue dipendenze includono libwebp, anche compilata in modo statico o dentro immagini Docker, e ricompila.
Ed è qui che la vicenda lascia la lezione più utile. Una libreria piccola, che quasi nessuno sapeva di avere, ha esposto migliaia di prodotti diversi. Sai dire oggi quali dei tuoi programmi la contengono? Se la risposta è no, un inventario delle dipendenze è il prossimo lavoro da fare.
