Hacktron发布HEIF Heist研究：历时多月追踪libheif漏洞波及Slack、Meta等，总成本不足$3,000，仅Shopify察觉其活动

Hacktron 团队由 Harsh Jaiswal 带领 Mohan Pedhapati 和 Rahul Maini，开展了一项名为 HEIF Heist 的多月研究，追踪图像处理库 libheif 在 Slack、Meta、GitHub Enterprise、Ruby on Rails 以及 Next.js、Astro、Gatsby 等 Node.js 框架中的漏洞。该研究称，针对 Slack、Zoom、Meta 等目标的整个项目历时两个月，代币总成本低于 3000 美元，由三名研究人员完成，将漏洞利用适配到每家公司通常只需一两天。

研究描述的攻击流程为：对每个目标从图片上传开始测试，在通常不知道确切 libheif 版本、libc 版本或部署环境的情况下，将内存破坏转化为可靠的内存泄漏或 shell；AI 几乎从零开始，在一两天内为每家公司调整利用方式。团队称，除 Shopify 外，他们不知道有任何公司察觉了这些活动，即便在发送了数千张图片、其图像处理器反复崩溃之后。

该研究称 HEIF Heist 不针对单一版本，而是覆盖多个发布系列（如 1.19.x、1.20.x、1.22.x、1.23.x）的漏洞生态，任何缺少最新上游安全补丁的部署都可能受影响。团队还表示，如果应用处理用户可控图片并接受 .heic/.heif/.avif 格式，很可能受到影响。