Android-gif-Drawable开源库远程代码执行误差清静通告

宣布时间 2019-10-28

误差编号和级别


CVE编号：暂无，，，， ，危险级别：高危，，，， ，CVSS分值：官方未评定


影响版本


使用Android-gif-Drawable库举行GIF图像处置惩罚，，，， ，且Android-gif-Drawable库版本在1.2.18以下的安卓APP受此误差影响。 。。iOS应用不受此误差影响。 。。


误差概述


Android-gif-Drawable是用于Android系统举行GIF图像剖析的开源库（以下简称GIF开源库）。 。。GIF开源库通过JNI捆绑Giflib的方法对帧数举行渲染，，，， ，与WebView类和Movie类相比渲染效率较高，，，， ，因此获得了普遍应用。 。。


2019年5月，，，， ，清静研究职员发明Android版本的WhatsApp（2.19.244版本之前）保存内存重复释放误差（CVE-2019-11932，，，， ，对应CNVD-C-2019-144833），，，， ，攻击者通过向WhatsApp用户发送一个全心制作的恶意GIF文件，，，， ，就可以获得WhatsApp的应用权限，，，， ，在手机端举行SD卡读取、音频录制、摄像头会见、文件系统会见、WhatsApp沙盒存储会见等操作。 。。


研究发明，，，， ，上述误差是由GIF开源库导致的。 。。凡使用该GIF开源库举行GIF图像剖析的安卓应用（APP）都可能受此误差影响。 。。攻击者通过向受影响的APP用户远程发送恶意GIF文件，，，， ，可在目的装备的APP应用权限情形下执行恣意代码（安卓8.0版本及以上）或导致应用拒绝效劳（安卓8.0版本以下）。 。。此误差编号为CNVD-2019-35254。 。。


该GIF开源库被大宗安卓APP使用，，，， ，全球规模内43619个使用该GIF开源库开发的安卓APP可能受此误差影响。 。。


误差验证


暂无POC/EXP。 。。


修复建议


1、版本举行周全排查，，，， ，发明问题后实时装置Android-gif-Drawable开源库更新应用补�。 。。╤ttps://github.com/koral--/android-gif-drawable/pull/673/commits/4944c92761e0a14f04868cbcf4f4e86fd4b7a4a9），，，， ，或整体替换至最新版本（https://github.com/koral--/android-gif-drawable/releases/tag/v1.2.18），，，， ，并向用户实时推送新版本的APP。 。。


2、用户使用手机端APP时，，，， ，不要浏览和存储泉源不明的GIF文件。 。。


参考链接


https://mp.weixin.qq.com/s/VDE8glwxHHy8fnChGwAuqw