Warnung vor Zero Day Exploit - WebP-Sicherheitslücke betrifft zahlreiche Anwendungen
von Tina Siering
Hochkritische Sicherheitslücke im WebP-Grafikformat entdeckt
WebP ist ein von Google entwickeltes Open-Source-Bildformat, das zu kleineren Dateigrößen mit weniger visuellen Artefakten führt. Es wird von einer Vielzahl von Anwendungen verwendet. Die nun entdeckte Zero-Day-Sicherheitslücke hat daher schwerwiegende Auswirkungen, deren Ausmaß derzeit schwer abzuschätzen ist.
Ursprünglich wurde diese Sicherheitslücke nur für Google Chrome identifiziert, doch bereits kurze Zeit später wurde diese Einstufung revidiert: Google kennzeichnete die alte Lücke (CVE-2023-4863) als kritisch und beantragte den neuen Eintrag (CVE-2023-5129), mit einem CVSS Score von 10. Zusätzlich wurde der alte Eintrag aktualisiert und weist nun darauf hin, dass die gesamte libwebp-Bibliothek, die von vielen Anwendungen verwendet wird, betroffen ist.
Wie genau sieht der Exploit aus?
Ausmaß und genaue Art eines potenziellen Angriffs sind derzeit ungewiss. Es wird vermutet, dass manipulierte WebP-Grafiken auf entsprechend präparierten HTML-Websites große Gefahr mit sich bringen. Schlimmstenfalls reicht der Besuch einer solchen Website aus, um Schadcode ausgeliefert zu bekommen.
Diese Anwendungen und Systeme sind betroffen
Zu den gefährdeten Anwendungen gehören Browser wie Edge und Firefox, Linux-Distributionen (z.B. Debian und Ubuntu) und andere Software wie LibreOffice, Slack und Signal Desktop. Besonders hervorzuheben ist, dass viele Anwendungen, die auf das Electron-Framework setzen, ebenfalls betroffen sind. Eine Liste mit anfälligen Electron-Apps wird derzeit auf Github zusammengestellt. Es ist davon auszugehen, dass viele Hersteller derzeit die Verwendung des WebP-Grafikformats prüfen und untersuchen, ob sie akut betroffen sind. Die Liste kann daher nur eine Momentaufnahme sein.
Schutzmaßnahmen und Updates für Benutzer
Die Liste der anfälligen Anwendungen ist umfangreich und noch sind kaum Sicherheitsupdates verfügbar! Benutzer sollten daher nach Updates suchen und diese so schnell wie möglich installieren. Patches für Firefox, Thunderbird, Chrome, Apple iOS und Tails sind bereits verfügbar. Auch Apple hat kritische Updates für Mac und iOS veröffentlicht.
Mögliche Verbindung zur BLASTPASS-Attacke und NSO Group
Ein Forscher stellt eine Verbindung zwischen der WebP-Lücke und den sogenannten BLASTPASS-Attacken (CVE-2023-41064) auf Apple-Systeme durch die NSO Group her. Derzeit sind jedoch keine weiteren Details zu dieser Verbindung verfügbar.
Handlungsempfehlung – unbedingt patchen!
Wir empfehlen IT-Sicherheitsverantwortlichen, die bisher bekannten und bereitgestellten Patches unverzüglich einzuspielen.
Im MVSP-Umfeld (Schwachstellenmanagement) existieren bereits erste Prüfpattern, die von unseren Cyber Security Analysten aktiv evaluiert und getestet werden.
Unsere Kunden mit einem aktiven Managed Service-Vertrag für ACD werden selbstverständlich über maliziöse Kommunikation auf ihren Systemen informiert.
Brauchen Sie Unterstützung, um Ihre IT Security für 2023 aufzurüsten? Kontaktieren Sie uns!
Zum Thema passende Artikel
Der zweite Dienstag im Monat ist traditionell der „Patchday“ von Microsoft. Administratoren und Endnutzer erhalten durch diesen Tag eine vorhersehbare Routine, um die eingesetzten Systeme auf dem neuesten Stand zu halten und bekannte Sicherheitslücken zu schließen. Durch die Bündelung der Updates auf einen Tag können die IT-Teams besser planen und so effizient sicherstellen, dass die IT-Infrastruktur zeitnah aktualisiert wird. Am Patchday im Oktober hat Microsoft insgesamt 103 Updates veröffentlicht, von denen 13 als kritisch eingestuft wurden.
Weiterlesen … Patchday Oktober 2023 - Diese Lücken schließt Microsoft
Phishing, Ransomware, Datenspionage – die Liste der Cyberbedrohungen ist lang. Gleichzeitig gehen Cyberkriminelle immer raffinierter und professioneller vor. Folglich nimmt das Risiko, Opfer einer Cyberattacke zu werden, in Deutschland und auf der ganzen Welt weiter zu. Vor allem kleine und mittlere Unternehmen verfügen gewöhnlich nicht über die nötigen Ressourcen, um Cyberangriffe selbst rechtzeitig zu erkennen und so abwehren zu können. Die Nachfrage nach Managed Security Service Providern (MSSP) und deren vielfältigen Leistungsangeboten ist daher ungebrochen hoch. Wir verraten Ihnen, worauf Sie bei der Wahl eines externen Dienstleisters achten sollten.
Weiterlesen … Managed Security Services: So gefragt wie nie zuvor
Während die Fertigungsbetriebe umfassend in die notwendige digitale Infrastruktur für das IIOT (Industrial Internet of Things) investieren, bleibt die IT Security zumeist auf der Strecke. IT-Sicherheitsmaßnahmen gegen Cyberbedrohungen und unterschiedlichste Cyberangriffe beruhen viel zu häufig noch auf veralteten Sicherheitskonzepten. Warum mehrschichtige Cyber-Verteidigungssysteme jetzt unabdingbar werden und wie sich durch Threat Hunting und Active Cyber Defense die IT Security in einem Produktionsbetrieb deutlich erhöhen lässt, erfahren Sie in diesem Beitrag.