Android-gif-Drawable开源库远程代码执行误差清静通告

宣布时间 2019-10-28

误差编号和级别


CVE编号：暂无，，，，，危险级别：高危，，，，，CVSS分值：官方未评定


影响版本


使用Android-gif-Drawable库举行GIF图像处置惩罚，，，，，且Android-gif-Drawable库版本在1.2.18以下的安卓APP受此误差影响。。iOS应用不受此误差影响。。


误差概述


Android-gif-Drawable是用于Android系统举行GIF图像剖析的开源库（以下简称GIF开源库）。。GIF开源库通过JNI捆绑Giflib的方法对帧数举行渲染，，，，，与WebView类和Movie类相比渲染效率较高，，，，，因此获得了普遍应用。。


2019年5月，，，，，清静研究职员发明Android版本的WhatsApp（2.19.244版本之前）保存内存重复释放误差（CVE-2019-11932，，，，，对应CNVD-C-2019-144833），，，，，攻击者通过向WhatsApp用户发送一个全心制作的恶意GIF文件，，，，，就可以获得WhatsApp的应用权限，，，，，在手机端举行SD卡读取、音频录制、摄像头会见、文件系统会见、WhatsApp沙盒存储会见等操作。。


研究发明，，，，，上述误差是由GIF开源库导致的。。凡使用该GIF开源库举行GIF图像剖析的安卓应用（APP）都可能受此误差影响。。攻击者通过向受影响的APP用户远程发送恶意GIF文件，，，，，可在目的装备的APP应用权限情形下执行恣意代码（安卓8.0版本及以上）或导致应用拒绝效劳（安卓8.0版本以下）。。此误差编号为CNVD-2019-35254。。


该GIF开源库被大宗安卓APP使用，，，，，全球规模内43619个使用该GIF开源库开发的安卓APP可能受此误差影响。。


误差验证


暂无POC/EXP。。


修复建议


1、版本举行周全排查，，，，，发明问题后实时装置Android-gif-Drawable开源库更新应用补�。。╤ttps://github.com/koral--/android-gif-drawable/pull/673/commits/4944c92761e0a14f04868cbcf4f4e86fd4b7a4a9），，，，，或整体替换至最新版本（https://github.com/koral--/android-gif-drawable/releases/tag/v1.2.18），，，，，并向用户实时推送新版本的APP。。


2、用户使用手机端APP时，，，，，不要浏览和存储泉源不明的GIF文件。。


参考链接


https://mp.weixin.qq.com/s/VDE8glwxHHy8fnChGwAuqw