Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Poppler

Betroffene Plattformen:

Debian Linux 8.10 Jessie
Debian Linux 9.3 Stretch

Zwei Schwachstellen in der PDF-Rendering Bibliothek Poppler können von einem
entfernten, nicht authentisierten Angreifer mittels manipulierter
PDF-Dateien für die Durchführung von Denial-of-Service (DoS)-Angriffen
ausgenutzt werden.

Debian stellt für die alte stabile Distribution Jessie und die stabile
Distribution Stretch Sicherheitsupdates bereit, um diese Schwachstellen zu
beheben. Debian gibt als mögliche Auswirkung der erfolgreichen Ausnutzung
der Schwachstellen zusätzlich die Ausführung beliebigen Programmcodes an.
Außerdem wird mit den Sicherheitsupdates auch eine Regression im Umgang mit
Type 3 Fonts behoben.

Patch:

Debian Security Advisory DSA-4097-1

https://www.debian.org/security/2018/dsa-4097

CVE-2017-1000456: Schwachstelle in libpoppler ermöglicht
Denial-of-Service-Angriff

In der Funktion ‘TextPool::addWord’ von libpoppler existiert eine
Schwachstelle aufgrund ungenügender Prüfung von Eingaben. In der Folge kommt
es zu einem Überlauf (Overflow) des Speichers und damit zum Absturz der
Anwendung, welche libpoppler verwendet. Ein entfernter, nicht
authentisierter Angreifer kann einen Denial-of-Service (DoS)-Angriff
ausführen, wenn es ihm gelingt einen Nutzer dazu zu verleiten, eine
manipulierte PDF-Datei zu öffnen.

CVE-2017-14929: Schwachstelle in Poppler ermöglicht
Denial-of-Service-Angriff

Durch den Aufruf der Methode ‘Object::dictLookup’ in ‘Object.h’ in Poppler
0.59.0 kann es zu einer Speicherkorruption kommen, nachdem zuvor mehrfach
eine Serie von ‘Gfx::’-Funktionsaufrufen (Gfx::display, Gfx::go,
Gfx::execOp, Gfx::opFill, Gfx::doPatternFill, Gfx::doTilingPatternFill und
Gfx::drawForm) durchlaufen wurde. Ein entfernter, nicht authentisierter
Angreifer kann dies ausnutzen, um einen Denial-of-Service (DoS)-Angriff
durchzuführen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2018-0186/

Schwachstelle CVE-2017-14929 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-14929

Schwachstelle CVE-2017-1000456 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-1000456

Debian Security Advisory DSA-4097-1:
https://www.debian.org/security/2018/dsa-4097

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.