Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 2 (24.12.2015):
SUSE stellt für die SUSE Linux Enterprise Produkte Software Development
Kit 12 SP1, Server 12 SP1 und Desktop 12 SP1 Sicherheitsupdates zur
Verfügung.
Version 1 (04.12.2015):
Neues Advisory
Betroffene Software:
GDK-PixBuf
Betroffene Plattformen:
SUSE Linux Enterprise Software Development Kit 12
SUSE Linux Enterprise Software Development Kit 12 SP1
SUSE Linux Enterprise Desktop 12
SUSE Linux Enterprise Desktop 12 SP1
SUSE Linux Enterprise Server 12
SUSE Linux Enterprise Server 12 SP1
Mehrere Schwachstellen ermöglichen einem entfernten, nicht authentifizierten
Angreifer die Durchführung von Denial-of-Service (DoS)-Angriffen und die
Ausführung beliebigen Programmcodes.
SUSE stellt für SUSE Linux Enterprise Software Development Kit 12, Server 12
und Desktop 12 Sicherheitsupdates zur Behebung der Schwachstellen bereit.
Patch:
SUSE Security Update SUSE-SU-2015:2195-1
https://www.suse.com/support/update/announcement/2015/suse-su-20152195-1.html
Patch:
SUSE Security Update SUSE-SU-2015:2195-2
https://www.suse.com/support/update/announcement/2015/suse-su-20152195-2.html
CVE-2015-7674: Schwachstelle in GDK-PixBuf ermöglicht
Denial-of-Service-Angriff
Es existiert eine Schwachstelle in GDK-PixBuf, die aufgrund einer
fehlerhaften Behandlung von Integer-Werten hervorgerufen wird. Dadurch kann
es passieren, dass bei der Behandlung bestimmter GIF-Bilder ein
Integer-Überlauf auftritt infolgedessen das Programm abstürzt.
Möglicherweise kann ein Angreifer diese Schwachstelle ebenfalls dazu
ausnutzen, um beliebigen Programmcode zur Ausführung zu bringen. Ein
entfernter, nicht authentifizierter Angreifer kann einen
Denial-of-Service-Angriff durchführen.
CVE-2015-7673: Heap-Speicherüberlauf-Schwachstelle in GDK-PixBuf ermöglicht
Denial-of-Service-Angriff
Es existiert eine Schwachstelle in ‘io-tga.c’ in GDK-PixBuf bevor 2.32.0,
die aufgrund einer fehlerhaften Behandlung von TGA-Dateien hervorgerufen
wird. Dadurch kann es passieren, dass bei der Skalierung solcher Dateien der
Heap-Speicher überläuft, in Folge dessen das Programm abstürzt.
Möglicherweise kann ein Angreifer diese Schwachstelle ebenfalls dazu
ausnutzen, um beliebigen Programmcode zur Ausführung zu bringen. Ein
entfernter, nicht authentifizierter Angreifer kann einen
Denial-of-Service-Angriff durchführen.
CVE-2015-4491: Heap-Überlauf-Schwachstelle in der Bibliothek ‘gdk-pixbuf’
Beim Skalieren von Bitmap-Bildern lässt sich in der u.a. von Firefox
genutzten Bibliothek ‘gdk-pixbuf’ bevor Version 2.31.5 auf Linux-Systemen
ein Heap-Überlauf auslösen. Ein entfernter, nicht authentifizierter
Angreifer kann diese Schwachstelle dazu ausnutzen, beliebigen Programmcode
mit den Rechten des Benutzers auszuführen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-1869/
Schwachstelle CVE-2015-4491 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-4491
Schwachstelle CVE-2015-7673 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-7673
Schwachstelle CVE-2015-7674 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-7674
SUSE Security Update SUSE-SU-2015:2195-1:
https://www.suse.com/support/update/announcement/2015/suse-su-20152195-1.html
SUSE Security Update SUSE-SU-2015:2195-2:
https://www.suse.com/support/update/announcement/2015/suse-su-20152195-2.html
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
