Wordfence нашла уязвимость в обработке фото с iPhone

Пришло уведомление от Wordfence: в библиотеке libheif, которая обрабатывает фото с iPhone, найдена критическая уязвимость с оценкой 9.8. Она позволяет обойти защиту памяти и получить доступ к файлам или запустить код на сервере. Повреждённые версии — 1.23.2 и ниже. Фикс в 1.23.3, текущая безопасная — 1.23.4.

Это не WordPress-плагин, и не обновляется через админку. Уязвимость в системной библиотеке, которая работает при обработке HEIC-файлов — тех, что по умолчанию сохраняют фото на iPhone. Если у вас на сервере включена обработка таких файлов, и вы принимаете загрузки от ненадёжных источников — риск реальный. Особенно если используется стандартный образ Docker, как в одном из тестов.

Считаю, что это серьёзно. Оценка 9.8 — почти максимум. Даже если эксплуатация требует настройки под конкретную среду, примеры из HEIF Heist показывают: такую уязвимость можно адаптировать за пару дней. И если у нескольких сайтов одинаковая инфраструктура — один файл может задеть всех.

Уже начал проверять, какие у клиентов используются образы и версии libheif. Пока не тороплюсь с обновлением — дождусь, пока хостинг или ОС выпустят пакет. Но в план на неделю включил проверку всех серверов, где возможна загрузка HEIC-файлов. Если обнаружим уязвимость — сначала обновим, потом проверим, не заражён ли сайт.