Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 2 (01.06.2016):
Für openSUSE Leap 42.1 steht ein Sicherheitsupdate zur Behebung der
Schwachstellen bereit.
Version 1 (29.03.2016):
Neues Advisory
Betroffene Software:
GDK-PixBuf
Betroffene Plattformen:
openSUSE 13.2
openSUSE Leap 42.1
Mehrere Schwachstellen ermöglichen einem entfernten, nicht authentifizierten
Angreifer die Durchführung von Denial-of-Service (DoS)-Angriffen und
wahrscheinlich auch die Ausführung beliebigen Programmcodes.
Für die Distribution openSUSE 13.2 steht ein Sicherheitsupdate zur Behebung
dieser Schwachstellen bereit.
Patch:
openSUSE Security Update openSUSE-SU-2016:0897-1
http://lists.opensuse.org/opensuse-updates/2016-03/msg00124.html
Patch:
openSUSE Security Update openSUSE-SU-2016:1467-1
https://lists.opensuse.org/opensuse-updates/2016-06/msg00006.html
CVE-2015-7552: Schwachstelle in GDK-PixBuf ermöglicht
Denial-of-Service-Angriff
Es existiert eine Schwachstelle in GDK-PixBuf, die durch das horizontale
Umdrehen (flipping) von bestimmten Bilddateien des Typs ‘BMP’ ausgelöst
wird. Der Aufruf von ‘memcpy’ in der Funktion ‘gdk_pixbuf_flip’ führt in dem
Fall zu einem Heap-Speicherüberlauf, der einen Denial-of-Service-Zustand zur
Folge hat. Möglicherweise kann ein Angreifer diese Schwachstelle darüber
hinaus durch speziell präparierte Dateien ausnutzen, um beliebigen
Programmcode auszuführen.
CVE-2015-7674: Schwachstelle in GDK-PixBuf ermöglicht
Denial-of-Service-Angriff
Es existiert eine Schwachstelle in GDK-PixBuf, die aufgrund einer
fehlerhaften Behandlung von Integer-Werten hervorgerufen wird. Dadurch kann
es passieren, dass bei der Behandlung bestimmter GIF-Bilder ein
Integer-Überlauf auftritt infolgedessen das Programm abstürzt.
Möglicherweise kann ein Angreifer diese Schwachstelle ebenfalls dazu
ausnutzen, um beliebigen Programmcode zur Ausführung zu bringen. Ein
entfernter, nicht authentifizierter Angreifer kann einen
Denial-of-Service-Angriff durchführen.
CVE-2015-7673: Heap-Speicherüberlauf-Schwachstelle in GDK-PixBuf ermöglicht
Denial-of-Service-Angriff
Es existiert eine Schwachstelle in ‘io-tga.c’ in GDK-PixBuf bevor 2.32.0,
die aufgrund einer fehlerhaften Behandlung von TGA-Dateien hervorgerufen
wird. Dadurch kann es passieren, dass bei der Skalierung solcher Dateien der
Heap-Speicher überläuft und infolgedessen das Programm abstürzt.
Möglicherweise kann ein Angreifer diese Schwachstelle ebenfalls dazu
ausnutzen, um beliebigen Programmcode zur Ausführung zu bringen. Ein
entfernter, nicht authentifizierter Angreifer kann einen
Denial-of-Service-Angriff durchführen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2016-0513/
Schwachstelle CVE-2015-7673 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-7673
Schwachstelle CVE-2015-7674 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-7674
Schwachstelle CVE-2015-7552 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-7552
openSUSE Security Update openSUSE-SU-2016:0897-1:
http://lists.opensuse.org/opensuse-updates/2016-03/msg00124.html
openSUSE Security Update openSUSE-SU-2016:1467-1:
https://lists.opensuse.org/opensuse-updates/2016-06/msg00006.html
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
