Description
libwebp est la bibliothèque de référence pour décoder les images au format WebP. Une erreur dans le décodage des tables de Huffman permet à une image spécialement construite de provoquer une écriture hors limites sur le tas (CWE-787). Le projet Chromium a classé la faille au niveau de sévérité Critique.
Google a confirmé l’existence d’un exploit utilisé dans la nature, et l’agence américaine CISA l’a ajoutée à son catalogue des vulnérabilités activement exploitées. Autrement dit, ce n’est pas un risque théorique : des attaques réelles l’ont utilisée avant la publication du correctif.
Une faille qui dépasse Chrome
Parce que libwebp est réutilisée par de très nombreux logiciels, le correctif de Chrome ne suffit pas : navigateurs basés sur Chromium, applications de bureau construites avec Electron, outils de traitement d’images ou distributions Linux ont dû publier leurs propres mises à jour.
Ce que nous recommandons
- Imposer les mises à jour automatiques des navigateurs et vérifier qu’aucun poste n’est resté en version 116 non corrigée.
- Inventorier les applications qui embarquent libwebp et suivre leurs bulletins de sécurité.
- Traiter les failles signalées comme « exploitées activement » en priorité absolue, sous 48 heures.