In PDFium, einem PDF-Betrachter für Googles Browser Chrome, schlummerte eine Sicherheitslücke, über die Angreifer auf fremden Systemen Code ausführen konnten.
Entdeckt wurde die Lücke von Talos, einer Security-Organisation, die zu Cisco gehört, aber auch an Open-Source-Produkten wie Snort und Clam AV mitarbeitet. Laut dem Blogpost der Organisation steckte sie im Standard-PDF-Reader von Chrome und erzeugte einen Heap-Buffer-Overflow, sobald der Nutzer ein PDF mit einem manipulierten Jpeg2000-Bild öffnete. Der Angreifer erhielt dadurch die Rechte, Code auf dem System auszuführen.
Konkret wartete die Sicherheitslücke in der Jpeg2000-Parsing-Bibliothek Open Jpeg und ließ sich nur aufgrund des speziellen Buildprozesses von Chrome ausnutzen. Gewöhnlich verhindert ein “assert()”-call in der Bibliothek den Heap-Overflow. Die Chrome-Entwickler schalten Assertions im Buildprozess jedoch aus, was die Lücke aktiviert habe. Weitere Details zur Lücke finden sich im CVE-2016-1681.
Wer einen aktuellen Chrome verwendet, braucht die Lücke nicht zu befürchten. Der Bug wurde von Google bereits Ende Mai behoben, zwei Wochen vor seiner offiziellen Ankündigung. Die Chrome-Versionen ab Stable 51.0.2704.63 sollten daher nicht mehr verwundbar sein.
