質問: 現在Google Playに登録しているアプリが脆弱性を含むバージョンligpngを利用しているとアナウンスを受けています。 どの部分で使われているか調べていた中で $ grep -r libpng ./* と実行した所、 Binary file ./build/intermediates/exploded-aar/org.xwalk/xwalk_core_library_beta/13.42.319.12/jni/armeabi-v7a/libxwalkcore.so matches と出力されてきました。(他にも出力内容はありましたが、割愛させていただいています) こちらから利用しているcordova plugin crosswalkが対象の脆弱性を抱えていることを懸念しています。 そこで現在利用しているバージョンに脆弱性があるバージョンなのか調べたいのですが、はっきりとした情報を得ることができていません。以下の内容に関してはっきりとした情報はないでしょうか? ・cordova cross walkにlibpngは利用されているか ・利用されているとしてcordova cross walk 1.2.0に含まれているlibpngのバージョンはいくつか ・利用されているとしてcordova cross walk 1.7.0に含まれているlibpngのバージョンはいくつか ※1.2.0が脆弱性を抱えている場合、まず考える対応はupdateすることですが、現状の最新版は1.7.0と認識しており、そちらで対応できているかどうかが知りたいです。 以下、確認したURL ※このリポジトリのものが含まれているかもわかっていません。ひとまずmasterのバージョンでは1.2.56となっていて問題無し。13.42.319.12に近いのかなと推察した(これも確認はないです)crosswalk-13/42.0.2311.68だと1.2.45で問題ありそうです。
回答: npmのサイトのリリースノート を確認します。 cordova-plugin-crosswalk-webview@1.2.0のlibpngのバージョン cordova-plugin-crosswalk-webview@1.2.0 では、 (1.1.0のアップデートにて) > > Based on Crosswalk v13 > > > とあります。 crosswalk-13 の最新ブランチを見ると、 > > README for libpng version 1.2.45 - July 7, 2011 (shared library 12.0) > > > とあり、質問者さんのおっしゃる通り脆弱性のあるバージョンと思われます。 cordova-plugin-crosswalk-webview@1.7.0のlibpngのバージョン 一方、 リリースノートで cordova-plugin-crosswalk-webview@1.7.0 を確認すると、 > > Uses the latest Crosswalk 18 stable version by default > > > とあります。 crosswalk-18 の最新のブランチを確認すると、 > > README for libpng version 1.2.52 - November 20, 2014 (shared library 12.0) > > > とあります。 脆弱性の有無 質問者さんのおっしゃる脆弱性がこれ なら、 1.2.52 では脆弱性があるということになります。 最新のプラグイン 2.1.0 であれば、 libpngが 1.2.56 とあるので、脆弱性の修正されたバージョンと思われます。