Android-gif-Drawable开源库远程代码执行误差清静通告

宣布时间 2019-10-28

误差编号和级别


CVE编号：暂无， ，，，，危险级别：高危， ，，，，CVSS分值：官方未评定


影响版本


使用Android-gif-Drawable库举行GIF图像处置惩罚， ，，，，且Android-gif-Drawable库版本在1.2.18以下的安卓APP受此误差影响。。。。。 。iOS应用不受此误差影响。。。。。 。


误差概述


Android-gif-Drawable是用于Android系统举行GIF图像剖析的开源库（以下简称GIF开源库）。。。。。 。GIF开源库通过JNI捆绑Giflib的方法对帧数举行渲染， ，，，，与WebView类和Movie类相比渲染效率较高， ，，，，因此获得了普遍应用。。。。。 。


2019年5月， ，，，，清静研究职员发明Android版本的WhatsApp（2.19.244版本之前）保存内存重复释放误差（CVE-2019-11932， ，，，，对应CNVD-C-2019-144833）， ，，，，攻击者通过向WhatsApp用户发送一个全心制作的恶意GIF文件， ，，，，就可以获得WhatsApp的应用权限， ，，，，在手机端举行SD卡读取、音频录制、摄像头会见、文件系统会见、WhatsApp沙盒存储会见等操作。。。。。 。


研究发明， ，，，，上述误差是由GIF开源库导致的。。。。。 。凡使用该GIF开源库举行GIF图像剖析的安卓应用（APP）都可能受此误差影响。。。。。 。攻击者通过向受影响的APP用户远程发送恶意GIF文件， ，，，，可在目的装备的APP应用权限情形下执行恣意代码（安卓8.0版本及以上）或导致应用拒绝效劳（安卓8.0版本以下）。。。。。 。此误差编号为CNVD-2019-35254。。。。。 。


该GIF开源库被大宗安卓APP使用， ，，，，全球规模内43619个使用该GIF开源库开发的安卓APP可能受此误差影响。。。。。 。


误差验证


暂无POC/EXP。。。。。 。


修复建议


1、版本举行周全排查， ，，，，发明问题后实时装置Android-gif-Drawable开源库更新应用补�。。。。。 。╤ttps://github.com/koral--/android-gif-drawable/pull/673/commits/4944c92761e0a14f04868cbcf4f4e86fd4b7a4a9）， ，，，，或整体替换至最新版本（https://github.com/koral--/android-gif-drawable/releases/tag/v1.2.18）， ，，，，并向用户实时推送新版本的APP。。。。。 。


2、用户使用手机端APP时， ，，，，不要浏览和存储泉源不明的GIF文件。。。。。 。


参考链接


https://mp.weixin.qq.com/s/VDE8glwxHHy8fnChGwAuqw