Fehler in GTK+ führt zu Pufferüberlauf

Red Hat bietet schon Patches

Drei Sicherheitslücken im Grafik-Toolkit GTK+ können zu einem Pufferüberlauf führen. Dazu genügt es, den Anwender zum Öffnen eines manipulierten XPM-Bildes in einem Programm, das GTK+ benutzt, zu bringen. Auch fremder Programmcode lässt sich so ausführen.

Artikel veröffentlicht am , Julius Stiebert

Laut der IT-Sicherheitsfirma iDefense stecken die Fehler in der GdkPixBuf-Bibliothek, die für das Rendern der Bilder zuständig ist. Um die Fehler auszunutzen, genügt es, bestimmte Parameter im Bild zu manipulieren.

Stellenmarkt
  1. Senior Android Entwickler (m/w/d)
    intive GmbH, München, Regensburg
  2. Data Engineer (w/m/d)
    Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin), Frankfurt am Main, Bonn
Detailsuche

Öffnet man das Bild mit einem Programm, das auf GTK+ basiert, wird ein Heap Overflow ausgelöst, der die Applikation zum Absturz bringt. Zusätzlich ist es möglich, beliebigen Programmcode mit den Rechten des jeweiligen Benutzers auszuführen. Da die betroffene Bibliothek in vielen Anwendungen eingesetzt wird, kann die Sicherheitslücke sowohl lokal als auch über ein Netzwerk ausgenutzt werden.

Nach Angaben von iDefense existieren die Sicherheitslücken nicht nur in den Paketen diverser Linux-Distributoren, sondern tauchen auch bei einer selbstkompilierten Version auf. Der Linux-Distributor Red Hat hat bereits reagiert und stellt Updates für die Pakete gdk-pixpuf und GTK2 bereit. Patches der anderen Distributoren sollten folgen.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Klimaforscher
Das Konzept der Klimaneutralität ist eine gefährliche Falle

Mit der Entnahme von CO2 in den nächsten Jahrzehnten netto auf null Emissionen zu kommen, klingt nach einer guten Idee. Ist es aber nicht, sagen Klimaforscher.
Von James Dyke, Robert Watson und Wolfgang Knorr

Klimaforscher: Das Konzept der Klimaneutralität ist eine gefährliche Falle
Artikel
  1. Security: IT-Angriff legt Stadtverwaltung Witten lahm
    Security
    IT-Angriff legt Stadtverwaltung Witten lahm

    Ob es sich im Fall von Witten ebenfalls um einen Ransomware-Angriff handelt, ist noch nicht klar, die Verwaltung aber stark eingeschränkt.

  2. M1 Pro/Max: Dieses Apple Silicon ist gigantisch
    M1 Pro/Max
    Dieses Apple Silicon ist gigantisch

    Egal ob AMD-, Intel- oder Nvidia-Hardware: Mit dem M1 Pro und dem M1 Max schickt sich Apple an, die versammelte Konkurrenz zu düpieren.
    Eine Analyse von Marc Sauter

  3. Raven Ridge: Linux-Bootfehler wegen AMDs RAM-Verschlüsselung
    Raven Ridge
    Linux-Bootfehler wegen AMDs RAM-Verschlüsselung

    Auf einigen Ryzen-Systemen sorgen Linux-Treiber für teils schwerwiegende Probleme. Die RAM-Verschlüsselung wird deshalb vorerst deaktiviert.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Cyber Week: Bis zu 16% auf SSDs & RAM von Adata & bis zu 30% auf Alternate • 3 Spiele für 49€: PC, PS5 uvm. • Switch OLED 369,99€ • 6 Blu-rays für 40€ • MSI 27" Curved WQHD 165Hz HDR 479€ • Chromebooks zu Bestpreisen • Alternate (u. a. Team Group PCIe-4.0-SSD 1TB 152,90€) [Werbung]
    •  /