見出し画像

WebP脆弱性についてNeat からの声明

Yuki Iwagishi


注：Neat サポートページのオリジナル文書 を Google 翻訳を使って翻訳後に一部修正、追記しています。本和訳は参考和訳です。最新情報はオリジナル文書をご参照ください。


最終更新日：2023年10月10日


Neatでは、製品とサービスのセキュリティを継続的に評価するよう努めています。問題や脆弱性が発見された場合は、迅速に問題の解決に取り組み、お客様やパートナー様にお伝えしています。セキュリティ研究者の報告によると、広範なソフトウェアに影響を及ぼす脆弱性があり、早急な対応が必要とのことです。

WebPとは?

WebPはGoogleによって開発された画像フォーマットです。見た目の品質を損なうことなく、ウェブサイトの画像サイズを縮小するために設計されました。その結果、WebPはWebサイトの動作を高速化し、同時に必要なデータストレージを削減します。WebPはすべての主要なウェブブラウザ（Chrome、Firefox、Safari、Edgeなど）でサポートされており、多くのソフトウェアアプリケーションで使用されています。

脆弱性の詳細

Libwebpは、アプリケーションがWebP画像を処理するために使用できるコードライブラリです。Libwebp は、任意のコードを実行するために悪用される可能性があり、実行中のデバイスを危険にさらす可能性があります。この脆弱性は、アプリケーションが悪意のある画像を受信した際に、ユーザが操作しなくても発動することがあります。この脆弱性の詳細は、CVE Record | CVE-2023-4863 に記載されています。

現在の分析


Neatデバイス上で動作するlibwebpには、いくつかのアプリケーション依存性があります。一つ目は、Android Framework の使用です。Android Framework の API は、WebP 画像のレンダリングに libwebp を活用しています。デバイスは、OOB（Out-Of-the-Box）セットアップやデバイスのシステム設定を表示する際に WebP 画像を使用します。しかし、OOBやシステム設定のインターフェースでは、ユーザーがWebページで直接WebPファイルを開くことはできません。このため、この特定のシナリオでは、WebPの脆弱性はNeatデバイスに影響しません。

もう1つは、Neatデバイス上で動作するプラットフォーム・アプリケーションに関連するもので、これにはMicrosoft TeamsとZoomが含まれます。TeamsとZoomの両アプリケーションは、それぞれのアプリケーション内で画像を提供するためにChromium WebViewを活用しています。これらのアプリケーションでWebViewを使用する場合、特定のリスクが1つだけあります： Microsoft Teamsをパーソナルモードで実行すると、ユーザーがチャット経由で不正なWebP画像をアップロードできる可能性があることです。

影響分析：

  • 影響なし： Neat Bar、Board、Bar Pro、Pad、Neat Pulse Control。Zoomを実行しているすべてのデバイス。Zoom Roomsを実行しているNeat Frame。

  • 影響を受ける : パーソナルモードでMicrosoft Teamsを実行しているNeat Frameのみ。


マイクロソフトと緊密に連携し、この脆弱性を解消するChromiumブラウザのパッチバージョンを含む新バージョンリリースの調整を行っています。

お客様への推奨措置

NeatとMicrosoftがこの問題を解決するためのセキュリティパッチをリリースできるようになるまで（2023年10月下旬から11月上旬を予定）、Neatアカウントの管理者は、エンドユーザにこの脆弱性を通知し、Neat Frameデバイスで未知のソースや信頼できないソースからのリンクをクリックしないように注意喚起することをお勧めします。また、管理者は、チャットでの画像の共有を、同じ組織内のユーザ間のみに制限することもできます。

追加のサポート情報


本通知および今後発生する可能性のあるセキュリティインシデントに関する最新情報については、当社のサポートウェブサイト（https://support.neat.no）をご覧ください。お使いの Neat デバイスで問題が発生した場合は、購入元にご相談ください。

注：Neat がサポートを提供する Neat デバイスは、現在リリースされているソフトウェア、または以前のリリースのソフトウェアを実行している Neat デバイスです。サポートポリシーの詳細については、Neat のテクニカルサポートポリシーをご覧ください。
重要：当社のプライバシーポリシーについては、https://neat.no/privacy-policy/ をご覧ください。

この記事が気に入ったらサポートをしてみませんか？