深蓝洞察评选2023年度最野的漏洞：影响范围极广的libwebp库漏洞获胜
内容提要
中国网络安全公司深蓝洞察发布2023年度报告，指出libwebp库漏洞是今年最严重的漏洞之一，影响了微信和QQ等流行软件。苹果发现并通报了该漏洞给谷歌，并协调修复。深蓝洞察质疑苹果为何只向谷歌共享威胁情报，而不与其他巨头合作。建立负责任、高效的威胁情报共享机制是一个必须解决的问题。
延伸解读
漏洞影响为何如此广泛
libwebp是WebP图像格式的基础库，任何支持渲染WebP的软件都集成了该库。因此，一旦libwebp出现漏洞，所有集成该库的软件都会受到影响，包括微信、钉钉、QQ等流行应用。这种广泛的依赖关系使得漏洞的影响范围极广，攻击者可以利用它对数以亿计的用户发起攻击。
PoC公开带来的风险
2023年9月22日，libwebp漏洞的PoC被公开。这意味着即使黑客没有提前研究出漏洞利用方法，也可以根据PoC轻松搞定。因此，大量黑客能够利用该漏洞发起广泛攻击，直到所有用户使用的软件都更新为修复漏洞后的libwebp库。这凸显了及时修复漏洞的重要性。
威胁情报共享的疑问
漏洞由苹果发现并通报给谷歌，双方协调修复。但深蓝洞察质疑，为何苹果仅向谷歌共享如此重要的威胁情报，而不与其他巨头如微软、华为等共享？libwebp和Chrome生态下游的无数软件无需第一时间知情吗？这引发了关于威胁情报共享机制的思考。
信息孤岛与安全挑战
在野漏洞被不断利用，网络攻击层出不穷，但不同国家、组织之间的信息孤岛现象依然尚未改观。这对于应对安全挑战极为不利。如何建立负责任、高效的威胁情报共享机制，在当今在野漏洞攻击横行的年代，已成为一个必须解决的问题。
Q&A
2023年最严重的漏洞是哪个？
深蓝洞察发布的2023年度报告指出，libwebp库漏洞是2023年最严重的漏洞之一。
libwebp漏洞影响了哪些软件？
libwebp漏洞影响了微信、钉钉、QQ等流行软件，以及所有集成libwebp库的软件。
为什么libwebp漏洞影响范围如此广？
因为libwebp是WebP图像使用的基础库，所有支持渲染WebP的软件都集成了这个库，所以一旦该库出现漏洞，所有集成该库的软件都会受到影响。
libwebp漏洞的PoC是什么时候公布的？
libwebp漏洞的PoC在2023年9月22日被公布。
苹果在libwebp漏洞中做了什么？
苹果产品安全团队和公民实验室发现了该漏洞，并立即向谷歌通报，与谷歌协调修复该漏洞。
深蓝洞察对苹果共享威胁情报提出了什么质疑？
深蓝洞察质疑苹果为何仅向谷歌共享如此重要的威胁情报，而不与其他巨头如微软、华为等合作，以及为何不第一时间通知libwebp、Chrome生态下游的无数软件。
建立威胁情报共享机制为什么重要？
因为在野漏洞被不断利用，网络攻击层出不穷，而不同国家、组织之间的信息孤岛现象尚未改观，建立负责任、高效的威胁情报共享机制对于应对安全挑战极为重要。
