Google‘ın güvenlik araştırması, güvenlik açığının WebM dosya biçimi için yaygın olarak kullanılan bir medya kodlama sisteminden kaynaklandığını söylüyor. Chrome ve Firefox’tan Skype ve VLC’ye kadar neredeyse tüm büyük işletim sistemlerinde tonlarca programı saldırıya açık bırakabilir. Yama almak için Chrome uygulamasının güncellenmesi kritik öneme sahip.
Google, hatayı “CVE-2023-5217” olarak etiketlenen yüksek profilli bir güvenlik sorunu olarak belgeliyor. Açıklama, belirli durumlarda bir programın bir bellek arabelleğine tasarlandığı miktardan daha fazla veri kaydetmesinin mümkün olduğu anlamına geliyor. Bu, programın genel olarak hesaba katamadığı diğer verilerin üzerine yazmasına ve öngörülemeyen güvenlik sorunlarına yol açmasına neden olabilir.
Ars Technica, Mozilla Firefox‘un da aynı soruna karşı savunmasız olduğunu zaten doğruladığını, VP8 WebM formatının dünya çapında o kadar çok yazılımda kullanıldığını ve bunun büyük bir baş ağrısına dönüşebileceğini belirtiyor. Skype gibi köklü iş araçlarından VLC gibi kullanıcıların favori uygulamalarına, AMD, Nvidia ve Logitech‘in donanıma bitişik programlarına kadar her şeyden bahsediyoruz. Bu programlardan hangisinin tam olarak savunmasız olduğu şu anda belli değil, ancak geniş kapsamlı ve sorunlu bir potansiyel var.
Kötü haber şu ki, Google nerede ve nasıl olduğu konusunda net bir bilgi vermese de bu güvenlik açığından zaten yaygın olarak yararlanılıyor. İyi haber şu ki, hem Chrome (sürüm 117) hem de Firefox (118) bunu zaten yaptığından, basit bir yama gibi görünüyor. Bir başka iyi haber de, belirli bir güvenlik açığının yalnızca medyanın kodu çözüldüğünde değil, kodlandığında ortaya çıkması; bu nedenle, etkilenen programların listesi libvpx kitaplığını kullanan her programı kapsamayabilir.
