Görsel işleme kütüphanelerindeki açıklar büyük teknoloji servislerini etkiledi

Hacktron güvenlik ekibi, libheif ve libde265 gibi yerel C/C++ görsel ayrıştırıcı kütüphanelerinde uzaktan kod çalıştırmaya olanak tanıyan bir dizi güvenlik açığı keşfetti. HEIF Heist olarak adlandırılan araştırma, saldırganların kötü amaçlı hazırlanan HEIF, HEIC veya AVIF dosyaları üzerinden uygulama katmanındaki savunmaları aşabildiğini ortaya koydu. Araştırmacılar, bu açık sınıfının OpenAI, Meta, Slack, Discourse ve Next.js gibi önde gelen platformlarda bellek bozulması ve kod yürütme riski doğurduğunu bildirdi.

Söz konusu güvenlik açıkları, ImageMagick, libvips ve Sharp gibi popüler sarmalayıcı kütüphaneler ve standart dağıtım paketleri aracılığıyla arka uç sistemlerine dolaylı yoldan giriyor. Saldırganlar, yükleme noktalarına özel dosyalar göndererek sistemde kullanılan libheif sürümünü tespit edebiliyor ve ardından hedefe özel hazırlanmış yüklerle bellek içeriğini sızdırabiliyor veya uzaktan kod çalıştırabiliyor. Hacktron, Discourse üzerindeki ilk bulgunun ardından çalışmayı genişleterek bulut altyapılarında ve kurumsal yazılımlarda benzer riskleri haritalandırdı.

Güvenlik uzmanları, bu zafiyetlerin giderilmesi için libheif sürümünün en az v1.23.2 seviyesine ve en güncel libde265 paketlerine yükseltilmesini önerdi. Araştırmacılar, görsel işleme mimarilerinde gereksiz HEIF ve AVIF ayrıştırma işlemlerinin devre dışı bırakılmasını veya işlemlerin yalıtılmış korumalı alanlarda yürütülmesini tavsiye etti. Araştırma ekibi, gelişmiş yapay zeka modellerini kullanarak istismar kodu geliştirme sürecini 1 ila 3 güne kadar indirdiğini de açıkladı.