DFN-CERT-2013-1164 Schwachstellen in Tiff [Linux][Debian]

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Paket tiff in Debian GNU/Linux 6.0 (squeeze) vor Version 3.9.4-5+squeeze9
Paket tiff in Debian GNU/Linux 7.0 (wheezy) vor Version 4.0.2-6+deb7u1
Für Pakete in Debian GNU/Linux testing (jessie) werden Patches nachgereicht
Paket tiff in Debian GNU/Linux unstable (sid) vor Version 4.0.2-6+nmu1

Betroffene Plattformen:

Debian GNU/Linux 6.0 (squeeze)
Debian GNU/Linux 7.0 (wheezy)
Debian GNU/Linux testing (jessie)
Debian GNU/Linux unstable (sid)

Schwachstellen in Tiff ermöglichen einem entfernten Angreifer
schlimmstenfalls beliebige Befehle auszuführen.

Software Upgrade:

Der Hersteller stellt Updates zur Behebung der Schwachstelle bereit.

http://security.debian.org/pool/updates/main/

CVE-2013-1960: Schwachstelle in Libtiff (tiff2pdf)

In dem Werkzeug tiff2pdf existiert ein heap-basierter Buffer-Overflow durch
die Art, wie TIFF-Bildinhalte in PDF-Dateien eingebettet werden. Betroffen
ist die Funktion tp_process_jpeg_strip() der Bibliothek Libtiff, die von
tiff2pdf verwendet wird. Einem entfernten Angreifer ist es mittels eines
präparierten TIFF-Bildes damit möglich, schlimmstenfalls beliebigen Code zur
Ausführung zu bringen, falls er einen Nutzer dazu bringen kann, die Datei
mit tiff2pdf zu verarbeiten.

CVE-2013-1961: Schwachstelle in Libtiff (tiff2pdf)

In dem Werkzeug tiff2pdf ist ein stack-basierter Buffer-Overflow möglich,
durch die Arbeit wie TIFF-Bilddaten in das PDF eingebettet werden. Ursache
hierfür ist eine unzureichende Prüfung der Werte für die Bildlänge und die
Auflösung. Einem entfernten Angreifer ist es mittels eines präparierten
TIFF-Bildes damit möglich, schlimmstenfalls
einen Absturz von tiff2pdf zu provozieren, falls er einen Nutzer davon
überzeugen kann, die TIFF-Datei zu verarbeiten.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2013-1164/

Das Hersteller Advisory:
http://www.debian.org/security/2013/dsa-2698

Schwachstelle CVE-2013-1960:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-1960

Schwachstelle CVE-2013-1961:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-1961