Eine Schwachstelle in libpng ermöglicht Angriffe auf Web-Browser und andere Programme, die libpng einsetzen.

Betroffene Systeme

• libpng 1.1.x bis einschließlich Version 1.1.15
• libpng 1.2.x bis einschließlich Version 1.2.5

Nicht betroffene Systeme

• Systeme, die mit entsprechenden Vendor-Patches zur Behebung der Schwachstelle versehen sind, die aber i.d.R. nicht die Versionsnummer ändern.

Einfallstor
speziell konstruierte PNG-Datei mit einem RGB-Bild

Auswirkung
Das Programm, das libpng verwendet, stürzt ab. Möglicherweise ist auch das Ausführen beliebigen Maschinencodes möglich.

Typ der Verwundbarkeit
buffer overflow bug

Gefahrenpotential
mittel bis hoch
(Hinweise zur Einstufung des Gefahrenpotentials.)

Beschreibung
Beim Umsetzen von RGB-Daten wird ein Zeiger falsch berechnet, so daß es zu einem Pufferüberlauf kommt. Dies führt zumindest zu einem Absturz der Anwendung, die libpng verwendet. Auch wenn es unwahrscheinlich erscheint, ist evtl. auch die Ausführung beliebigen Maschinencodes über diese Schwachstelle möglich.

Gegenmaßnahmen

• Einspielen des Patches aus dem Debian-Advisory.

Vulnerability ID

• CAN-2002-1363

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2022 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/