3

現在Google Playに登録しているアプリが脆弱性を含むバージョンligpngを利用しているとアナウンスを受けています。
どの部分で使われているか調べていた中で

$ grep -r libpng ./*

と実行した所、

Binary file ./build/intermediates/exploded-aar/org.xwalk/xwalk_core_library_beta/13.42.319.12/jni/armeabi-v7a/libxwalkcore.so matches

と出力されてきました。(他にも出力内容はありましたが、割愛させていただいています)
こちらから利用しているcordova plugin crosswalkが対象の脆弱性を抱えていることを懸念しています。

そこで現在利用しているバージョンに脆弱性があるバージョンなのか調べたいのですが、はっきりとした情報を得ることができていません。以下の内容に関してはっきりとした情報はないでしょうか?

・cordova cross walkにlibpngは利用されているか
・利用されているとしてcordova cross walk 1.2.0に含まれているlibpngのバージョンはいくつか
・利用されているとしてcordova cross walk 1.7.0に含まれているlibpngのバージョンはいくつか
※1.2.0が脆弱性を抱えている場合、まず考える対応はupdateすることですが、現状の最新版は1.7.0と認識しており、そちらで対応できているかどうかが知りたいです。

以下、確認したURL
https://github.com/crosswalk-project/chromium-crosswalk/tree/master/third_party/libpng
※このリポジトリのものが含まれているかもわかっていません。ひとまずmasterのバージョンでは1.2.56となっていて問題無し。13.42.319.12に近いのかなと推察した(これも確認はないです)crosswalk-13/42.0.2311.68だと1.2.45で問題ありそうです。

1 件の回答 1

1

npmのサイトのリリースノート
https://www.npmjs.com/package/cordova-plugin-crosswalk-webview#release-notes
を確認します。

[email protected]のlibpngのバージョン

[email protected] では、
(1.1.0のアップデートにて)

Based on Crosswalk v13

とあります。

crosswalk-13 の最新ブランチを見ると、
https://github.com/crosswalk-project/chromium-crosswalk/blob/crosswalk-13/42.0.2311.135/third_party/libpng/README#L1

README for libpng version 1.2.45 - July 7, 2011 (shared library 12.0)

とあり、質問者さんのおっしゃる通り脆弱性のあるバージョンと思われます。

[email protected]のlibpngのバージョン

一方、 リリースノートで [email protected] を確認すると、

Uses the latest Crosswalk 18 stable version by default

とあります。 crosswalk-18 の最新のブランチを確認すると、
https://github.com/crosswalk-project/chromium-crosswalk/blob/crosswalk-18/48.0.2564.116/third_party/libpng/README#L1

README for libpng version 1.2.52 - November 20, 2014 (shared library 12.0)

とあります。

脆弱性の有無

質問者さんのおっしゃる脆弱性がこれ
https://support.google.com/faqs/answer/7011127?hl=ja
なら、 1.2.52 では脆弱性があるということになります。

最新のプラグイン 2.1.0 であれば、
https://github.com/crosswalk-project/chromium-crosswalk/blob/crosswalk-21/50.0.2661.102/third_party/libpng/README#L1
libpngが 1.2.56 とあるので、脆弱性の修正されたバージョンと思われます。

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。