搜索

[1630] 2019-10-28_关于Android-gif-Drawable开源库存在远程代码执行漏洞的安全公告

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-16
2019-10-28_关于Android-gif-Drawable开源库存在远程代码执行漏洞的安全公告 关 于 A n d r o i d - g i f - D r a w a b l e 开 源 库 存 在 远 程 代 码 执 行 漏 洞 的 安 全 公 告 原 创   C N V D   C N V D 漏 洞 平 台   2 0 1 9 - 1 0 - 2 8 安 全 公 告 编 号 安 全 公 告 编 号 : C N T A - 2 0 1 9 - 0 0 3 6 2 0 1 9 年 1 0 月 1 4 日 ， 国 家 信 息 安 全 漏 洞 共 享 平 台 （ C N V D ） 收 录 了 由 腾 讯 安 全 玄 武 实 验 室 报 送 的 A n d r o i d - g i f - D r a w a b l e 开 源 库 远 程 代 码 执 行 漏 洞 （ C N V D - 2 0 1 9 - 3 5 2 5 4 ） 。 攻 击 者 利 用 该 漏 洞 ， 可 在 未 授 权 的 情 况 下 ， 在 用 户 终 端 上 远 程 执 行 代 码 或 导 致 应 用 拒 绝 服 务 。 目 前 厂 商 已 发 布 补 丁 完 成 修 复 ， 漏 洞 相 关 细 节 已 公 开 ， 漏 洞 影 响 范 围 和 危 害 较 大 。 一 、 漏 洞 情 况 分 析 一 、 漏 洞 情 况 分 析 A n d r o i d - g i f - D r a w a b l e 是 用 于 A n d r o i d 系 统 进 行 G I F 图 像 解 析 的 开 源 库 （ 以 下 简 称 G I F 开 源 库 ） 。 G I F 开 源 库 通 过 J N I 捆 绑 G i f l i b 的 方 式 对 帧 数 进 行 渲 染 ， 与 W e b V i e w 类 和 M o v i e 类 相 比 渲 染 效 率 较 高 ， 因 此 得 到 了 广 泛 应 用 。 2 0 1 9 年 5 月 ， 安 全 研 究 人 员 发 现 A n d r o i d 版 本 的 W h a t s A p p （ 2 . 1 9 . 2 4 4 版 本 之 前 ） 存 在 内 存 重 复 释 放 漏 洞 （ C V E - 2 0 1 9 - 1 1 9 3 2 ， 对 应 C N V D - C - 2 0 1 9 - 1 4 4 8 3 3 ） ， 攻 击 者 通 过 向 W h a t s A p p 用 户 发 送 一 个 精 心 制 作 的 恶 意 G I F 文 件 ， 就 可 以 获 得 W h a t s A p p 的 应 用 权 限 ， 在 手 机 端 进 行 S D 卡 读 取 、 音 频 录 制 、 摄 像 头 访 问 、 文 件 系 统 访 问 、 W h a t s A p p 沙 盒 存 储 访 问 等 操 作 。 腾 讯 安 全 玄 武 实 验 室 研 究 发 现 ， 上 述 漏 洞 是 由 G I F 开 源 库 导 致 的 。 凡 使 用 该 G I F 开 源 库 进 行 G I F 图 像 解 析 的 安 卓 应 用 （ A P P ） 都 可 能 受 此 漏 洞 影 响 。 攻 击 者 通 过 向 受 影 响 的 A P P 用 户 远 程 发 送 恶 意 G I F 文 件 ， 可 在 目 标 设 备 的 A P P 应 用 权 限 环 境 下 执 行 任 意 代 码 （ 安 卓 8 . 0 版 本 及 以 上 ） 或 导 致 应 用 拒 绝 服 务 （ 安 卓 8 . 0 版 本 以 下 ） 。 C N V D 对 该 漏 洞 的 综 合 评 级 为 “ 高 危 ” 。 二 、 漏 洞 影 响 范 围 二 、 漏 洞 影 响 范 围 漏 洞 影 响 情 况 如 下 ： 使 用 A n d r o i d - g i f - D r a w a b l e 库 进 行 G I F 图 像 处 理 ， 且 A n d r o i d - g i f - D r a w a b l e 库 版 本 在 1 . 2 . 1 8 以 下 的 安 卓 A P P 受 此 漏 洞 影 响 。 i O S 应 用 不 受 此 漏 洞 影 响 。 腾 讯 安 全 玄 武 实 验 室 阿 图 因 系 统 分 析 结 果 显 示 ， 该 G I F 开 源 库 被 大 量 安 卓 A P P 使 用 ， 全 球 范 围 内 4 3 6 1 9 个 使 用 该 G I F 开 源 库 开 发 的 安 卓 A P P 可 能 受 此 漏 洞 影 响 。 三 、 漏 洞 修 复 建 议 三 、 漏 洞 修 复 建 议 G I F 开 源 库 已 发 布 新 版 本 （ 1 . 2 . 1 8 ） 修 复 此 漏 洞 ， C N V D 建 议 ： 1 、 开 发 人 员 对 使 用 的 G I F 开 源 库 版 本 进 行 全 面 排 查 ， 发 现 问 题 后 及 时 安 装 A n d r o i d - g i f - D r a w a b l e 开 源 库 更 新 应 用 补 丁 （ h t t p s : / / g i t h u b . c o m / k o r a l - - / a n d r o i d - g i f - d r a w a b l e / p u l l / 6 7 3 / c o m m i t s / 4 9 4 4 c 9 2 7 6 1 e 0 a 1 4 f 0 4 8 6 8 c b c f 4 f 4 e 8 6 f d 4 b 7 a 4 a 9 ） ， 或 整 体 替 换 至 最 新 版 本 （ h t t p s : / / g i t h u b . c o m / k o r a l - - / a n d r o i d - g i f - d r a w a b l e / r e l e a s e s / t a g / v 1 . 2 . 1 8 ） ， 并 向 用 户 及 时 推 送 新 版 本 的 A P P 。 2 、 用 户 使 用 手 机 端 A P P 时 ， 不 要 浏 览 和 存 储 来 历 不 明 的 G I F 文 件 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理