Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
Bibliothek Libpng
Betroffene Plattformen:
Canonical Ubuntu Linux 12.04 Lts
Canonical Ubuntu Linux 14.04 Lts
Canonical Ubuntu Linux 15.04
Canonical Ubuntu Linux 15.10
Eine Schwachstelle in der PNG (Portable Network Graphics) Datei Bibliothek
ermöglicht einem entfernten, authentisierten Angreifer das Ausspähen von
Informationen und zwei weitere Schwachstellen einem entfernten, nicht
authentisierten Angreifer die Durchführung von Denial-of-Service (DoS)- oder
möglicherweise weiteren Angriffen. Die Schwachstelle CVE-2012-3425 betrifft
nur Ubuntu 12.04 LTS.
Canonical stellt für die Distributionen Ubuntu 15.10, Ubuntu 15.04, Ubuntu
14.04 LTS und Ubuntu 12.04 LTS verschiedene Backport-Sicherheitsupdates zur
Verfügung.
Patch:
Ubuntu Security Notice USN-2815-1
http://www.ubuntu.com/usn/usn-2815-1/
CVE-2015-8126: Schwachstellen in libpng erlauben Denial-of-Service-Angriffe
Mehrere Pufferüberlauf-Schwachstellen existierten in den Funktionen (1)
‘png_set_PLTE’ und (2) ‘png_get_PLTE’ in libpng bevor 1.0.64, 1.1.x und
1.2.x bevor 1.2.54, 1.3.x und 1.4.x bevor 1.4.17, 1.5.x bevor 1.5.24 und
1.6.x bevor 1.6.19. Ein entfernter, nicht authentisierter Angreifer kann
diese Schwachstelle ausnutzen, mittels eines kleinen ‘bit-depth’-Wertes in
einem IHDR (aka image header) Chunk in einer PNG-Bilddatei, um einen Absturz
der Anwendung (Denial-of-Service) zu verursachen oder möglicherweise weitere
Angriffe durchzuführen.
CVE-2015-7981: Schwachstelle in libpng erlaubt Ausspähen von Informationen
In der Funktion ‘png_convert_to_rfc1123()’ in png.c existiert eine
Schwachstelle, die bei der Transformation von Bildern zu einem Lesen über
Speicherbegrenzungen hinaus führt (“out-of-bounds read”). Ein entfernter,
einfach authentisierter Benutzer, als Angreifer, kann diese Schwachstelle
ausnutzen, mittels einer schädlichen, präparierten Bilddatei im
‘png’-Format, um durch Offenlegung von Speicherinhalten einer Anwendung
potentiell sensible Informationen auszuspähen.
CVE-2012-3425: Schwachstelle in libpng erlaubt Denial-of-Service-Angriff
In der Bibliothek libpng besteht eine heap-basierte
Buffer-Overflow-Schwachstelle bei der Dekompression von bestimmten
PNG-Bildern. Dies erlaubt entfernten, nicht authentisierten Angreifern
mittels einer präparierten PNG-Datei die Anwendung, welche libpng verwendet,
zum Absturz zu bringen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-1789/
Schwachstelle CVE-2015-7981 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-7981
Schwachstelle CVE-2015-8126 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-8126
Ubuntu Security Notice USN-2815-1:
http://www.ubuntu.com/usn/usn-2815-1/
Schwachstelle CVE-2012-3425 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2012-3425
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
