

現在Google Playに登録しているアプリが脆弱性を含むバージョンligpngを利用しているとアナウンスを受けています。  
どの部分で使われているか調べていた中で

$ grep -r libpng ./*

と実行した所、

Binary file ./build/intermediates/exploded-
aar/org.xwalk/xwalk_core_library_beta/13.42.319.12/jni/armeabi-v7a/libxwalkcore.so
matches

と出力されてきました。（他にも出力内容はありましたが、割愛させていただいています）  
こちらから利用しているcordova plugin crosswalkが対象の脆弱性を抱えていることを懸念しています。

そこで現在利用しているバージョンに脆弱性があるバージョンなのか調べたいのですが、はっきりとした情報を得ることができていません。以下の内容に関してはっきりとした情報はないでしょうか？

・cordova cross walkにlibpngは利用されているか  
・利用されているとしてcordova cross walk 1.2.0に含まれているlibpngのバージョンはいくつか  
・利用されているとしてcordova cross walk 1.7.0に含まれているlibpngのバージョンはいくつか  
※1.2.0が脆弱性を抱えている場合、まず考える対応はupdateすることですが、現状の最新版は1.7.0と認識しており、そちらで対応できているかどうかが知りたいです。

以下、確認したURL  
<https://github.com/crosswalk-project/chromium-
crosswalk/tree/master/third_party/libpng>  
※このリポジトリのものが含まれているかもわかっていません。ひとまずmasterのバージョンでは1.2.56となっていて問題無し。13.42.319.12に近いのかなと推察した（これも確認はないです）crosswalk-13/42.0.2311.68だと1.2.45で問題ありそうです。


CC BY-SA 3.0
2016-07-20T02:36:41.407
27740
2016-09-27T06:01:47.760
17215
question
android cordova
cordova plugin crosswalkで使われているlibpngのバージョンに関して


npmのサイトのリリースノート  
<https://www.npmjs.com/package/cordova-plugin-crosswalk-webview#release-notes>  
を確認します。

## cordova-plugin-crosswalk-webview@1.2.0のlibpngのバージョン

cordova-plugin-crosswalk-webview@1.2.0 では、  
（1.1.0のアップデートにて）

> Based on Crosswalk v13

とあります。

crosswalk-13 の最新ブランチを見ると、  
<https://github.com/crosswalk-project/chromium-
crosswalk/blob/crosswalk-13/42.0.2311.135/third_party/libpng/README#L1>

> README for libpng version 1.2.45 - July 7, 2011 (shared library 12.0)

とあり、質問者さんのおっしゃる通り脆弱性のあるバージョンと思われます。

## cordova-plugin-crosswalk-webview@1.7.0のlibpngのバージョン

一方、 リリースノートで cordova-plugin-crosswalk-webview@1.7.0 を確認すると、

> Uses the latest Crosswalk 18 stable version by default

とあります。 crosswalk-18 の最新のブランチを確認すると、  
<https://github.com/crosswalk-project/chromium-
crosswalk/blob/crosswalk-18/48.0.2564.116/third_party/libpng/README#L1>

> README for libpng version 1.2.52 - November 20, 2014 (shared library 12.0)

とあります。

## 脆弱性の有無

質問者さんのおっしゃる脆弱性がこれ  
<https://support.google.com/faqs/answer/7011127?hl=ja>  
なら、 1.2.52 では脆弱性があるということになります。

最新のプラグイン 2.1.0 であれば、  
<https://github.com/crosswalk-project/chromium-
crosswalk/blob/crosswalk-21/50.0.2661.102/third_party/libpng/README#L1>  
libpngが 1.2.56 とあるので、脆弱性の修正されたバージョンと思われます。


CC BY-SA 3.0
2016-09-27T06:01:47.760
29180
2016-09-27T06:01:47.760
18920
27740
answer