DFN-CERT-2012-1278 Schwachstelle in GD [Linux][Fedora]

- 02. Juli 2012

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Paket gd

Betroffene Plattformen:

Fedora 17

Eine Schwachstelle in der GD Grafikbibliothek erlaubt es entfernten
Angreifern, beliebigen Code mit den Rechten des Benutzers der Anwendung
auszuführen, die die Bibliothek verwendet.

Software Upgrade:

Der Hersteller stellt Updates zur Behebung der Schwachstelle bereit.

http://dl.fedoraproject.org/pub/fedora/linux/updates/

CVE-2009-3546: Buffer-Overflow in der Funktion _gdGetColors() der
Grafikbibliothek GD

In der Funktion _gdGetColors() der Grafikbibliothek GD werden bestimmte
Werte n der “colorsTotal” Datenstruktur nicht ausreichend überprüft, so dass
über die Grenzen eines Arrays hinaus gelesen bzw. geschrieben werden kann.
Ein Angreifer kann diese Schwachstelle dazu ausnutzen, beliebigen Code mit
den Rechten des Benutzers der Anwendung auszuführen, welche die Bibliothek
verwendet.
Die Schwachstelle ist ähnlich zu, aber nicht identisch mit CVE-2009-3293.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2012-1278/

Das Hersteller Advisory:
http://lists.fedoraproject.org/pipermail/package-announce/2012-June/083178.html
http://lists.fedoraproject.org/pipermail/package-announce/2012-June/083180.html

Schwachstelle CVE-2009-3546:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-3546