Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
Paket libpng
Betroffene Plattformen:
RHEL Desktop Workstation Version 5 Client – i386, x86_64
Red Hat Enterprise Linux Version 5 Server – i386, ia64, ppc, s390x, x86_64
Red Hat Enterprise Linux Desktop Version 5 Client – i386, x86_64
Red Hat Enterprise Linux Desktop Version 6 – i386, x86_64
Red Hat Enterprise Linux Desktop Optional Version 6 – i386, x86_64
Red Hat Enterprise Linux HPC Node Version 6 – x86_64
Red Hat Enterprise Linux HPC Node Optional Version 6 – x86_64
Red Hat Enterprise Linux Server Version 6 – i386, ppc64, s390x, x86_64
Red Hat Enterprise Linux Server Optional Version 6 – i386, ppc64, s390x,
x86_64
Red Hat Enterprise Linux Workstation Version 6 – i386, x86_64
Red Hat Enterprise Linux Workstation Optional Version 6 – i386, x86_64
Eine Schwachstelle in der Bibliothek Libpng ermöglicht einem entfernten
Angreifer beliebigen Code mit den Rechten des Benutzers zur Ausführung zu
bringen.
Software Upgrade:
Der Hersteller stellt Updates zur Behebung der Schwachstelle bereit.
CVE-2011-3045: Schwachstelle in der Bibliothek Libpng
In der Bibliothek Libpng tritt aufgrund einer ungültigen Typenkonvertierung
in der Funktion png_inflate() ein Buffer Overflow auf dem Heap auf. Dies
ermöglicht einem entfernten Angreifer durch das Bereitstellen einer
präparierten PNG-Datei (Portable Network Graphics) einen Denial-of-Service
Zustand der Anwendung, welche die Bibliothek Libpng verwendet,
herbeizuführen oder schlimmstenfalls beliebige Befehle mit den Rechten der
Anwendung auszuführen. Dies setzt voraus, dass der Anwender die PNG-Datei
mit einer Anwendung, welche die Bibliothek Libpng verwendet, öffnet.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2012-0515/
Das Hersteller Advisory:
https://rhn.redhat.com/errata/RHSA-2012-0407.html
Schwachstelle CVE-2011-3045:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-3045
(c) DFN-CERT Services GmbH
Die nicht kommerzielle Weiterverbreitung ist mit Hinweis auf den
Copyrightinhaber erlaubt.
