Zahlreiche Bibliotheken des Displayservers X.org sind von Schwachstellen betroffen.
Zahlreiche Bibliotheken des Displayservers X.org sind von Schwachstellen betroffen. (Bild: X.org)

Displayserver Fast alle X.org-Bibliotheken mit Sicherheitslücken

28 teils gefährliche Sicherheitslücken in den zahlreichen Bibliotheken des Displayservers X.org haben die Entwickler geschlossen. Sie betreffen alle bisherigen Versionen des X Window System.

Anzeige

Solange X Clients und der Server vom selben Benutzer gestartet und verwendet werden, stellen die jetzt gefundenen Sicherheitslücken kein Problem dar, wie die Entwickler vom X.org-Projekt schreiben. Wenn jedoch ein privilegierter Client eine Verbindung zu einem unprivilegierten Server aufbaut, etwa zu einem virtuellen Xserver wie Xvfb oder Xephyr, dann können sich Benutzer unter Umständen Root-Rechte verschaffen.

Da es sich um Fehler in der Handhabung der Protokolle handelt, sind nahezu alle Client-Bibliotheken betroffen. Ermittelt hat sie der Sicherheitsexperte Ilja van Sprundel von der Firma Ioactive. Er wandte sich an die X.org-Entwickler und gemeinsam erarbeiteten sie Lösungen, die jetzt im Code umgesetzt wurden.

Bei den gefundenen Fehlern handelt es sich unter anderem um Integer Overflows, die bei der Berechnung des benötigten Speichers auftreten können. Davon betroffen sind zahlreiche Funktionen in vielen Bibliotheken, darunter LibX11 bis Version 1.5.99.901, LibXinerama 1.1.2 (CVE-2013-1985), LibXp 1.0.1 (CVE-2013-2062), LibXrandr 1.4.0 (CVE-2013-1986), LibXrender 0.9.7 (CVE-2013-1987), LibXRes 1.0.6 (CVE-2013-1988), LibGLX in Mesa 9.1.1 (CVE-2013-1993) sowie libchromeXvMC und libchromeXvMCPro in Openchrome 0.3.2 (CVE-2013-1994).

In den beiden Bibliotheken LibXi 1.7.1 (CVE-2013-1995) und LibFS 1.0.4 (CVE-2013-1996) werden die Vorzeichen während der Berechnung des benötigten Speichers nicht hinreichend überprüft. Pufferüberläufe wegen mangelnder Verifizierung der Länge oder Offset-Werte können in den Bibliotheken LibX11 1.5.99.901 (CVE-2013-1997) oder LibXv 1.0.7 (CVE-2013-1998) auftreten. LibX11 1.5.99.901 hat auch weitere Schwachstellen, darunter Probleme beim Parsen von benutzerspezifischen Dateien.

Patches sind inzwischen im Github-Repository erhältlich.


lisgoem8 04. Sep 2013

Dürften aber besonders unter Windows deutlich mehr sein. Ausserdem wird kein...

LustigerWanderer 31. Aug 2013

Dieses Märchen vom sicherereren Linux stammt wohl aus einer Zeit, wo Linux noch wenig...

Kommentieren



Anzeige

  1. Scrum Master (m/w)
    MaibornWolff GmbH, München
  2. Produkt­spezialist (m/w) Lohn- und Gehalts­abrechnungs­software
    Haufe Gruppe, Freiburg im Breisgau
  3. SAP-Entwickler (m/w) für ABAP & Process Integration
    Star Cooperation GmbH, Großraum Stuttgart
  4. Manager (m/w) Funktionale Sicherheit Organisation
    Automotive Safety Technologies GmbH, Gaimersheim/Ingolstadt

 

Detailsuche


Blu-ray-Angebote
  1. Jurassic Park Collection - Dino-Skin Edition (exkl. bei Amazon.de) [Blu-ray] inkl. 2 EUR Gutschein für Jurassic World B
    29,99€
  2. Chappie / District 9 / Elysium (exklusiv bei amazon.de) [Blu-ray]
    19,99€
  3. Grand Budapest Hotel [Blu-ray]
    8,97€

 

Weitere Angebote


Folgen Sie uns
       


  1. Windows 10

    RTM-Version für diese Woche geplant

  2. Hero 4 Session ausprobiert

    Gopros neuer Zauberwürfel

  3. Protest

    WLAN-Störerhaftung soll gegen EU-Recht verstoßen

  4. Mojang

    Spezielle Version von Minecraft für Windows 10

  5. Android 5.0

    Kein Lollipop für das Galaxy Note 2

  6. Deltatronic Silentium X99 im Test

    Und er brennt doch nicht durch

  7. Ekso Works Industrial Exoskeleton

    Passives Exoskelett unterstützt Arbeiter

  8. Nintendo Sony

    Historischer Prototyp der Playstation aufgetaucht

  9. 20 Jahre

    Amazon kündigt Sonderangebote nur für Prime-Mitglieder an

  10. Spionagesoftware

    Hacking Team von Unbekannten gehackt



Haben wir etwas übersehen?

E-Mail an news@golem.de



Berliner Datenschutzbeauftragter: Jemand muss den Datenschutz sexy machen!
Berliner Datenschutzbeauftragter
Jemand muss den Datenschutz sexy machen!
  1. E-Gesundheitskarte Mangelnde Personenüberprüfung gefährdet Patientendaten
  2. EU-Ministerrat Showdown für Europas Datenschutz
  3. Umfrage E-Personalausweis im Internet kaum genutzt

Pebble Time im Test: Nicht besonders smart, aber watch
Pebble Time im Test
Nicht besonders smart, aber watch
  1. Smartwatch Pebble Time kostet außerhalb von Kickstarter 250 Euro
  2. Smartwatch Apple gibt iOS-App für die Pebble Time frei
  3. Smartwatch Pebbles iOS-App wird von Apple nicht freigegeben

Batman Arkham Knight im Test: Es ist kompliziert ...
Batman Arkham Knight im Test
Es ist kompliziert ...
  1. Arkham Knight Erster PC-Patch für Batman
  2. Technische Probleme Batman Arkham Knight nicht mehr auf Steam erhältlich

  1. Hindenburg

    Berner Rösti | 15:30

  2. Re: Wie peilt man die Drohne an?

    Sharra | 15:29

  3. Haftet das Strassenbauunternehmen eigentlich für...

    sedremier | 15:29

  4. Re: Wäre bestimmt geil geworden ...

    violator | 15:29

  5. Re: Kostenlos

    TheFeldi | 15:28


  1. 15:11

  2. 15:00

  3. 13:19

  4. 12:34

  5. 12:24

  6. 12:02

  7. 12:01

  8. 11:17


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel