Android-gif-Drawable开源库远程代码执行缝隙安全公告

颁布功夫 2019-10-28

缝隙编号和级别


CVE编号：暂无，危险级别：高危，CVSS分值：官方未评定


影响版本


使用Android-gif-Drawable库进行GIF图像处置，且Android-gif-Drawable库版本在1.2.18以下的安卓APP受此缝隙影响。iOS利用不受此缝隙影响。


缝隙概述


Android-gif-Drawable是用于Android系统进行GIF图像解析的开源库（以下简称GIF开源库）。GIF开源库通过JNI绑缚Giflib的方式对帧数进行渲染，与WebView类和Movie类相比渲染效能较高，因而得到了宽泛利用。


2019年5月，安全钻研人员发现Android版本的WhatsApp（2.19.244版本之前）存在内存沉复开释缝隙（CVE-2019-11932，对应CNVD-C-2019-144833），攻击者通过向WhatsApp用户发送一个精心造作的恶意GIF文件，就能够获得WhatsApp的利用权限，在手机端进行SD卡读取、音频录造、摄像头接见、文件系统接见、WhatsApp沙盒存储接见等操作。


钻研发现，上述缝隙是由GIF开源库导致的。凡使用该GIF开源库进行GIF图像解析的安卓利用（APP）都可能受此缝隙影响。攻击者通过向受影响的APP用户远程发送恶意GIF文件，可在指标设备的APP利用权限环境下执行肆意代码（安卓8.0版本及以上）或导致利用回绝服务（安卓8.0版本以下）。此缝隙编号为CNVD-2019-35254。


该GIF开源库被大量安卓APP使用，全球领域内43619个使用该GIF开源库开发的安卓APP可能受此缝隙影响。


缝隙验证


暂无POC/EXP。


建复建议


1、版本进行全面排查，发现问题后实时装置Android-gif-Drawable开源库更新利用补�。╤ttps://github.com/koral--/android-gif-drawable/pull/673/commits/4944c92761e0a14f04868cbcf4f4e86fd4b7a4a9），或整体代替至最新版本（https://github.com/koral--/android-gif-drawable/releases/tag/v1.2.18），并向用户实时推送新版本的APP。


2、用户使用手机端APP时，不要浏览和存储来历不明的GIF文件。


参考链接


https://mp.weixin.qq.com/s/VDE8glwxHHy8fnChGwAuqw