Protege lo que importa
Protege endpoints, correo electrónico y empleados con el poder de nuestro SOC 24/7. Prueba Huntress gratis y despliega en minutos para empezar a combatir las amenazas.
Vulnerabilidad CVE-2023-4863
Vulnerabilidad CVE-2023-4863
Aprende qué es la vulnerabilidad CVE-2023-4863, cómo se propaga y cómo detectarla y eliminarla antes de que afecte tus sistemas.
¿Qué es la vulnerabilidad CVE-2023-4863?
CVE-2023-4863 es una vulnerabilidad crítica de ejecución remota de código (RCE) que afecta ciertas implementaciones de WebP, un formato de imagen muy usado en los navegadores web. Explota una condición de desbordamiento de búfer en el heap debido a una validación de entrada incorrecta al procesar imágenes WebP manipuladas. Esto puede permitir a los atacantes ejecutar código arbitrario en el sistema objetivo, comprometer su integridad y, potencialmente, tomar control total de los dispositivos afectados. Tiene una puntuación CVSS de 9.8, lo que la marca como altamente severa.
¿Cuándo se descubrió?
Esta vulnerabilidad se divulgó públicamente el 21 de septiembre de 2023. El descubrimiento se atribuye a un equipo de investigadores del Threat Analysis Group de Google. Tras el descubrimiento inicial, se lanzaron rápidamente parches para varias plataformas, lo que refleja la atención urgente que esta vulnerabilidad recibió de los proveedores de software.
Productos y versiones afectados
Por el momento, aún no se conoce una lista completa del software afectado. Es probable que cualquier software que use la biblioteca vulnerable esté afectado. Debido al uso extendido de libwebp como biblioteca de software, la superficie de ataque de esta vulnerabilidad probablemente sea extensa.
El parche de libwebp 1.3.2 soluciona este problema en el origen de su implementación. Sin embargo, cualquier software que incluya libwebp es potencialmente vulnerable. Los responsables del mantenimiento de software también han publicado parches para sus propios productos. El reconocimiento inicial indica que las siguientes plataformas cuentan con correcciones para esta vulnerabilidad:
Navegadores web comunes como Google Chrome, Mozilla Firefox, Mozilla Thunderbird, Brave, Tor, Opera y Vivaldi.
Los principales sistemas operativos como Debian, Ubuntu, Alpine, Gentoo, SUSE, Oracle y Amazon cuentan con correcciones para los componentes de software empaquetados.
Electron, Telegram, 1Password y otras aplicaciones de escritorio.
Producto | Versiones afectadas | Versiones corregidas / Enlaces de parches |
Google Chrome | Versiones anteriores a 116.0.5845.187 | |
Mozilla Firefox | Versiones anteriores a 117.0.1 | |
Microsoft Edge | Versiones anteriores a 116.0.1938.81 |
Descripción técnica de CVE-2023-4863
En esencia, CVE-2023-4863 surge de una vulnerabilidad de desbordamiento de búfer en el heap dentro de la biblioteca libwebp. Cuando se procesa una imagen WebP especialmente manipulada, se activa la condición de desbordamiento, lo que permite a un atacante escribir código malicioso en espacios de memoria a los que no debería acceder. Esta condición otorga a los atacantes la capacidad de ejecutar código arbitrario dentro del contexto de la aplicación vulnerable. Por ejemplo, enviar una imagen WebP maliciosa a un usuario por correo electrónico o incrustarla en un sitio web puede dar lugar a la explotación si la imagen se visualiza en un navegador vulnerable.
Tácticas, técnicas y procedimientos (TTPs)
Los actores de amenazas que aprovechan CVE-2023-4863 suelen usar correos de phishing con archivos adjuntos WebP maliciosos o alojan imágenes manipuladas en sitios web comprometidos. Una vez que un usuario con un navegador o aplicación vulnerable visualiza la imagen, se ejecuta el payload y se obtiene control sobre el sistema afectado.
Indicadores de compromiso (IoCs)
Supervisa las imágenes WebP provenientes de fuentes no confiables y rastrea los dominios maliciosos que alojan dichas imágenes. Los registros pueden mostrar descargas sospechosas o tráfico hacia/desde dominios de compromiso conocidos. Además, los datos de volcado de memoria analizados podrían revelar artefactos del payload manipulado.
Pruebas de concepto y exploits conocidos
Las pruebas de concepto (PoC) para CVE-2023-4863 se han difundido ampliamente entre los investigadores de seguridad. Ya se ha observado explotación activa en el mundo real, con atacantes que apuntan a dispositivos de usuarios finales y redes empresariales. Frameworks de explotación como Metasploit y otros repositorios públicos han mostrado ejemplos funcionales.
Cómo detectar la vulnerabilidad CVE-2023-4863
Los esfuerzos de detección pueden incluir monitorear el tráfico de red en busca de solicitudes inusuales que involucren archivos WebP manipulados. Del lado del endpoint, revisa los registros de las aplicaciones en busca de comportamientos anómalos al procesar archivos de imagen. Usa herramientas de seguridad como Huntress Managed EDR para detectar y poner en cuarentena payloads maliciosos. También se pueden crear reglas de SIEM para señalar operaciones sospechosas de manejo de imágenes.
Impacto y riesgo de la vulnerabilidad CVE-2023-4863
La vulnerabilidad CVE-2023-4863 puede afectar gravemente la confidencialidad, integridad y disponibilidad de los datos de una organización. Su explotación puede provocar robo de datos, compromiso del sistema e incluso la implementación de ransomware. Los exploits de navegador que aprovechan imágenes manipuladas también pueden insertar a atacantes en operaciones de cadena de suministro, con efectos en cascada en varias industrias.
Estrategias de mitigación y remediación
Para mitigar el CVE-2023-4863, las organizaciones deben aplicar de inmediato los parches del proveedor en todos los navegadores y bibliotecas afectados. Otros pasos incluyen implementar controles de acceso para reducir la exposición a archivos de imagen maliciosos, actualizar las firmas de detección de intrusiones y aislar los sistemas que manejan cargas de medios de alto riesgo. Deshabilitar el soporte de WebP, cuando sea posible, puede servir como solución temporal.
Preguntas frecuentes sobre la vulnerabilidad CVE-2023-4863
CVE-2023-4863 es una vulnerabilidad de desbordamiento de búfer en el montículo (heap) de la biblioteca del formato de imagen WebP. Los atacantes pueden manipular archivos WebP maliciosos para explotar esta falla, lo que resulta en la ejecución no autorizada de código.
Por lo general, los sistemas se ven comprometidos cuando los usuarios abren imágenes WebP maliciosas mediante aplicaciones vulnerables, como navegadores o clientes de correo electrónico. Ver estas imágenes activa el exploit y ejecuta el payload del atacante.
Si bien los parches inmediatos reducen el riesgo, los sistemas sin parches o el software heredado pueden seguir siendo vulnerables. El monitoreo activo de IoC y las actualizaciones regulares son fundamentales para protegerse contra futuras amenazas.
Las organizaciones pueden mitigar los riesgos aplicando todos los parches relevantes, usando herramientas de detección de amenazas y educando a los empleados sobre las tácticas de phishing que involucran archivos maliciosos. Las defensas perimetrales sólidas y las soluciones de EDR refuerzan aún más la protección.
