DFN-CERT-2013-1087 Schwachstellen in der Bibliothek Libtiff [Linux][SuSE]

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Paket tiff

Betroffene Plattformen:

openSUSE 11.4
openSUSE 12.3

Schwachstellen in der Bibliothek Libtiff ermöglichen schlimmstenfalls einem
entfernten Angreifer beliebigen Code zur Ausführung zu bringen.

Software Upgrade:

Der Hersteller stellt Updates zur Behebung der Schwachstelle bereit.

http://download.novell.com/index.jsp

CVE-2013-1960: Schwachstelle in Libtiff (tiff2pdf)

In dem Werkzeug tiff2pdf existiert ein heap-basierter Buffer-Overflow durch
die Art, wie TIFF-Bildinhalte in PDF-Dateien eingebettet werden. Betroffen
ist die Funktion tp_process_jpeg_strip() der Bibliothek Libtiff, die von
tiff2pdf verwendet wird. Einem entfernten Angreifer ist es mittels eines
präparierten TIFF-Bildes damit möglich, schlimmstenfalls beliebigen Code zur
Ausführung zu bringen, falls er einen Nutzer dazu bringen kann, die Datei
mit tiff2pdf zu verarbeiten.

CVE-2013-1961: Schwachstelle in Libtiff (tiff2pdf)

In dem Werkzeug tiff2pdf ist ein stack-basierter Buffer-Overflow möglich,
durch die Arbeit wie TIFF-Bilddaten in das PDF eingebettet werden. Ursache
hierfür ist eine unzureichende Prüfung der Werte für die Bildlänge und die
Auflösung. Einem entfernten Angreifer ist es mittels eines präparierten
TIFF-Bildes damit möglich, schlimmstenfalls
einen Absturz von tiff2pdf zu provozieren, falls er einen Nutzer davon
überzeugen kann, die TIFF-Datei zu verarbeiten.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2013-1087/

Das Hersteller Advisory:
http://lists.opensuse.org/opensuse-updates/

Schwachstelle CVE-2013-1960:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-1960

Schwachstelle CVE-2013-1961:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-1961