Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

MuPDF

Betroffene Plattformen:

Debian Linux 8.7 Jessie
Debian Linux 9.0 Stretch

Mehrere Schwachstellen in MuPDF ermöglichen einem entfernten, nicht
authentisierten Angreifer verschiedene Denial-of-Service (DoS)-Angriffe mit
Hilfe bösartig präparierter Dateien, falls der Angreifer einen Benutzer dazu
verleiten kann, diese zu öffnen.

Debian stellt für die Distributionen Debian Jessie (stable) und Stretch
(testing) Sicherheitsupdates für MuPDF bereit. Debian gibt außerdem an, dass
über die Schwachstellen auch die Ausführung beliebigen Programmcodes möglich
ist. Diese Einschätzung ist über andere verfügbare Quellen allerdings nicht
verifizierbar.

Patch:

Debian Security Advisory DSA-3797-1

https://www.debian.org/security/2017/dsa-3797

CVE-2017-5991: Schwachstelle in MuPDF ermöglicht Denial-of-Service-Angriff

In der Funktion ‘pdf_run_xobject’ in ‘pdf-op-run.c’ in MuPDF bevor
1912de5f08e90af1d9d0a9791f58ba3afdb9d465 existiert eine Schwachstelle
aufgrund einer NULL-Zeiger-Derefenzierung (NULL Pointer Dereference),
während einer ‘Fitz fz_paint_pixmap_with_mask painting’-Operation,
infolgedessen die Anwendung abstürzt. Ein entfernter, nicht authentisierter
Angreifer, der einen Anwender dazu verleiten kann eine bösartig präparierte
Bilddatei zu öffnen, kann dadurch einen Denial-of-Service (DoS)-Angriff
durchführen.

CVE-2016-8674: Schwachstelle in MuPDF ermöglicht Denial-of-Service-Angriff

Aufgrund unzureichender Validierung von Eingaben in der Funktion
‘pdf_to_num’ in ‘pdf-object.c’ existiert eine Schwachstelle in MuPDF bevor
1.10, durch die es zur Verwendung von Heap-Speicher nach dessen Freigabe
(Heap Use-after-Free) kommen kann, infolgedessen die Anwendung abstürzt. Ein
entfernter, nicht authentisierter Angreifer, der einen Anwender dazu
verleiten kann eine bösartig präparierte PDF-Datei zu öffnen, kann dadurch
einen Denial-of-Service (DoS)-Angriff durchführen.

CVE-2017-5896: Schwachstelle in MuPDF ermöglicht Denial-of-Service-Angriff

Aufgrund unzureichender Validierung von Eingaben in der Funktion
‘fz_subsample_pixmap’ existiert eine Schwachstelle in MuPDF, die es
ermöglicht einen Speicherüberlauf im Heap-basierten Pufferspeicher zu
verursachen, wodurch ein Lesezugriff auf einen Speicherbereich außerhalb der
zulässiger Grenzen durchgeführt wird und die Anwendung abstürzt. Ein
entfernter, nicht authentisierter Angreifer kann einen Anwender dazu
verleiten eine bösartig präparierte Bilddatei zu öffnen und so einen
Denial-of-Service-Angriff durchführen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-0361/

Schwachstelle CVE-2017-5991 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-5991

Schwachstelle CVE-2016-8674 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-8674

Schwachstelle CVE-2017-5896 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-5896

Debian Security Advisory DSA-3797-1:
https://www.debian.org/security/2017/dsa-3797

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.