Android-gif-Drawable开源库远程代码执行缝隙安全公告

颁布功夫 2019-10-28

缝隙编号和级别


CVE编号：暂无 ，，，，，，，危险级别：高危 ，，，，，，，CVSS分值：官方未评定


影响版本


使用Android-gif-Drawable库进行GIF图像处置 ，，，，，，，且Android-gif-Drawable库版本在1.2.18以下的安卓APP受此缝隙影响。。。 。。。 。。iOS利用不受此缝隙影响。。。 。。。 。。


缝隙概述


Android-gif-Drawable是用于Android系统进行GIF图像解析的开源库（以下简称GIF开源库）。。。 。。。 。。GIF开源库通过JNI绑缚Giflib的方式对帧数进行渲染 ，，，，，，，与WebView类和Movie类相比渲染效能较高 ，，，，，，，因而得到了宽泛利用。。。 。。。 。。


2019年5月 ，，，，，，，安全钻研人员发现Android版本的WhatsApp（2.19.244版本之前）存在内存沉复开释缝隙（CVE-2019-11932 ，，，，，，，对应CNVD-C-2019-144833） ，，，，，，，攻击者通过向WhatsApp用户发送一个精心造作的恶意GIF文件 ，，，，，，，就能够获得WhatsApp的利用权限 ，，，，，，，在手机端进行SD卡读取、音频录造、摄像头接见、文件系统接见、WhatsApp沙盒存储接见等操作。。。 。。。 。。


钻研发现 ，，，，，，，上述缝隙是由GIF开源库导致的。。。 。。。 。。凡使用该GIF开源库进行GIF图像解析的安卓利用（APP）都可能受此缝隙影响。。。 。。。 。。攻击者通过向受影响的APP用户远程发送恶意GIF文件 ，，，，，，，可在指标设备的APP利用权限环境下执行肆意代码（安卓8.0版本及以上）或导致利用回绝服务（安卓8.0版本以下）。。。 。。。 。。此缝隙编号为CNVD-2019-35254。。。 。。。 。。


该GIF开源库被大量安卓APP使用 ，，，，，，，全球领域内43619个使用该GIF开源库开发的安卓APP可能受此缝隙影响。。。 。。。 。。


缝隙验证


暂无POC/EXP。。。 。。。 。。


建复建议


1、版本进行全面排查 ，，，，，，，发现问题后实时装置Android-gif-Drawable开源库更新利用补丁�。。 。。。 。。╤ttps://github.com/koral--/android-gif-drawable/pull/673/commits/4944c92761e0a14f04868cbcf4f4e86fd4b7a4a9） ，，，，，，，或整体代替至最新版本（https://github.com/koral--/android-gif-drawable/releases/tag/v1.2.18） ，，，，，，，并向用户实时推送新版本的APP。。。 。。。 。。


2、用户使用手机端APP时 ，，，，，，，不要浏览和存储来历不明的GIF文件。。。 。。。 。。


参考链接


https://mp.weixin.qq.com/s/VDE8glwxHHy8fnChGwAuqw