DFN-CERT-2012-1483 Schwachstelle in der Bibliothek libjpeg-turbo [Linux][Mandriva]

- 02. August 2012

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Paket libjpeg-turbo

Betroffene Plattformen:

Mandriva Linux 2011
Mandriva Linux 2011/X86_64

Eine Schwachstelle in der Bibliothek libjpeg-turbo ermöglicht einem
entfernten Angreifer schlimmstenfalls beliebigen Code mit den Rechten der
Anwendung, welche die Bibliothek verwendet, zur Ausführung zu bringen.

Software Upgrade:

Der Hersteller stellt Updates zur Behebung der Schwachstelle bereit.

http://www.mandriva.com/security

CVE-2012-2806: Schwachstelle in der Bibliothek libjpeg-turbo

In der Bibliothek libjpeg-turbo kommt es beim Dekomprimieren einer
JPEG-Datei zu einem Buffer Overflow auf dem Heap, falls der “Component
Count” auf einen zu großen Wert gesetzt wurde. Dies ermöglicht einem
entfernten Angreifer durch das Bereitstellen einer präparierten JPEG-Datei
die Anwendung, welche die Bibliothek verwendet, zum Absturz zu bringen oder
schlimmstenfalls beliebigen Code mit den Rechten der Anwendung zur
Ausführung zu bringen. Dies setzt voraus, dass die präparierte Datei vom
Anwender geöffnet wird.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2012-1483/

Das Hersteller Advisory:
http://www.mandriva.com/security/advisories?name=MDVSA-2012:121

Schwachstelle CVE-2012-2806:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2012-2806