Abo
  • IT-Karriere:

Chrome/Gstreamer: Windows 10 sicherer als Linux-Desktops

Chrome speichert Dateien automatisch ab - und manche Linux-Distributionen verarbeiten die heruntergeladenen Dateien sofort mit extrem unsicherem Code von Gstreamer. Der Entdecker der Lücke meint, dass derart gravierende Schwächen zur Zeit in Windows nicht vorkommen.

Artikel veröffentlicht am , Hanno Böck
NES-Sounddateien als Sicherheitsrisiko? Das Multimediaframework Gstreamer unterstützt unzählige obskure Audioformate.
NES-Sounddateien als Sicherheitsrisiko? Das Multimediaframework Gstreamer unterstützt unzählige obskure Audioformate. (Bild: Yagamichega/Wikimedia Commons/CC-BY 3.0)

Sicherheitslücken im Code von Gstreamer können auf manchen Linux-Desktop-Systemen gravierende Auswirkungen haben. Das berichtet der IT-Sicherheitsexperte Chris Evans, der zurzeit für Tesla arbeitet. Eine Kombination von Verhaltensweisen des Chrome-Browsers und des Gnome-Tools Tracker führt unter Fedora dazu, dass Gstreamer direkt vom Browser aus angegriffen werden kann.

Dateien werden automatisch heruntergeladen

Stellenmarkt
  1. Haufe Group, Freiburg
  2. Universität Hamburg, Hamburg

Chrome speichert heruntergeladene Dateien direkt im Downloads-Ordner ab, ohne den Nutzer zu fragen. Alle dort abgespeicherten Dateien werden automatisch von Tracker erfasst. Tracker gehört zu Gnome und ist ein Tool für die Suche nach lokalen Dateien. Es extrahiert hierfür Metadaten und nutzt dafür die Multimediabibliothek Gstreamer. Gstreamer wiederum enthält eine große Menge an Decodern für Audio- und Videoformate.

Die Lücke, anhand derer Evans das Problem demonstriert, befindet sich in einem Codec für ein Format, welches das Programm VMware für Screen Captures verwendet. Dieses Format kann in AVI-Dateien eingebettet werden. Der Code im Codec berechnet den Speicherplatz für das Bild anhand der Höhe, Breite und Farbtiefe, prüft dabei jedoch nicht, ob das Ergebnis auch in einer Integervariablen Platz hat - ein typischer Integer Overflow. Dies führt wiederum zu einem Buffer Overflow auf dem Heap.

Die Beispieldatei, die Evans zur Verfügung stellt, führt lediglich zu einem Crash. Einen Exploit zu schreiben, wäre wohl relativ aufwendig, da Fedora ASLR (Address Space Layout Randomization) einsetzt, doch Evans ist sich sicher, dass ein Exploit machbar ist.

Zwei Decoder für NES-Sounddateien

Unabhängig von der konkreten Lücke dürfte das Problem jedoch deutlich größer sein. Erst kürzlich hatte Evans eine Sicherheitslücke im Parser für NSF-Dateien (NES Sound Format) gezeigt. Die betrifft zwar nur ältere Versionen von Gstreamer, allerdings kommen diese unter dem noch unterstützten Ubuntu 12.04 zum Einsatz. NSF-Dateien enthält Audiotracks für das Nintendo Entertainment System. Evans empfiehlt schlicht das Löschen des NSF-Decoders. Auswirkungen hat das praktisch keine, denn Gstreamer kann danach NSF-Dateien immer noch abspielen. Denn Gstreamer enthält gleich zwei Codecs für NSF-Dateien.

Gstreamer enthält unzählige Codecs für nahezu alle Audio- und Videoformate, die es je gab. Viele davon nutzen weitere Bibliotheken, die oft kaum oder überhaupt nicht mehr weiterentwickelt werden. Über die Qualität mancher dieser Codecs ist sich das Gstreamer-Projekt sehr bewusst. Die Codecs werden in verschiedene Kategorien unterteilt und in entsprechenden Plugin-Paketen gebundelt: Base, good, bad und ugly (Basis, gut, schlecht und hässlich). Beide von Evans entdeckten Sicherheitslücken befinden sich in Plugins, die Gstreamer als "bad" bezeichnet. Doch unabhängig von ihrer Qualität werden alle installierten Codecs von Programmen, die Gstreamer nutzen, üblicherweise automatisch gewählt, wenn eine entsprechende Datei vorliegt.

Evans macht verschiedene Vorschläge, wie man das Problem begrenzen könnte. Chrome fällt mit seinem Verhalten des automatischen Speicherns von Downloaddateien aus der Reihe, andere Browser fragen den Nutzer üblicherweise vorher, ob er einen Download abspeichern will. Nutzer können diese Einstellung jedoch manuell ändern. Für die Tracker-Funktionalität bietet sich laut Evans eine Sandbox an. Als Workaround können Nutzer den Downloads-Ordner von Tracker ausschließen.

Evans beendet seinen Blogpost mit einem Aufruf an die Linux-Desktop-Entwickler, sich mehr um Sicherheit zu kümmern. Es sei bedenklich, dass sich in einer Standard-Desktop-Konfiguration unter Linux so einfach eine so schwerwiegende Memory-Corruption-Lücke finden lässt. "Das ist nicht die Art von Situation, die unter einer aktuellen Windows-10-Standardinstallation vorkommt."



Anzeige
Top-Angebote
  1. (u. a. Sandisk 512-GB-SSD für 55,00€, WD Elements Exclusive Edition 2 TB für 59,00€ und Abend...
  2. 31,99€
  3. 139,00€ (Bestpreis!)
  4. (aktuell u. a. Speedlink Velator Gaming-Tastatur für 9,99€, Deepcool New Ark Gehäuse für 249...

jajagreat 21. Nov 2016

"Chrome speichert heruntergeladene Dateien direkt im Downloads-Ordner ab, ohne den Nutzer...

Wurzelgnom 19. Nov 2016

Bei Ubuntu 16.10: gst-plugins-bad1.0 (1.8.3-1ubuntu1.1) yakkety-security; urgency...

Rulf 18. Nov 2016

nur kann man mit solchen rudimentären krücken nicht mehr viel anfangen... kein vergleich...

FedoraUser 18. Nov 2016

meep - falsch. Im Artikel wird Fedora genannt und auf meiner Fedora installation war...

Truster 18. Nov 2016

Doch. Unter Einstellungen, Downloads: "Vor dem Download von Dateien nach dem Speicherort...


Folgen Sie uns
       


Boses Noise Cancelling Headphones 700 im Vergleich

Wir haben die ANC-Leistung von drei ANC-Kopfhörern miteinander verglichen. Wir ließen Boses neue Noise Cancelling Headphones 700 gegen Boses Quiet Comfort 35 II und Sonys WH-1000XM3 antreten.

Boses Noise Cancelling Headphones 700 im Vergleich Video aufrufen
5G-Antenne in Berlin ausprobiert: Zu schnell, um nützlich zu sein
5G-Antenne in Berlin ausprobiert
Zu schnell, um nützlich zu sein

Neben einem unwirtlichen Parkplatz in Berlin-Adlershof befindet sich ein Knotenpunkt für den frühen 5G-Ausbau von Vodafone und Telekom. Wir sind hingefahren, um 5G selbst auszuprobieren, und kamen dabei ins Schwitzen.
Von Achim Sawall und Martin Wolf

  1. Tausende neue Nutzer Vodafone schafft Zuschlag für 5G ab
  2. Vodafone Callya Digital Prepaid-Tarif mit 10 GByte Datenvolumen kostet 20 Euro
  3. Kabelnetz Vodafone bekommt Netzüberlastung nicht in den Griff

Apple TV+: Apples Videostreamingdienst ist nicht konkurrenzfähig
Apple TV+
Apples Videostreamingdienst ist nicht konkurrenzfähig

Bei so einem mickrigen Angebot hilft auch ein mickriger Preis nicht: Apples Streamingdienst hat der Konkurrenz von Netflix, Amazon und bald Disney nichts entgegenzusetzen - und das wird sich auf Jahre nicht ändern.
Eine Analyse von Ingo Pakalski

  1. Apple TV+ Disney-Chef tritt aus Apple-Verwaltungsrat zurück
  2. Apple TV+ Apples Streamingangebot kostet 4,99 Euro im Monat
  3. Videostreaming Apple TV+ startet mit fünf Serien für 10 US-Dollar monatlich

Serielle Hybride: Unterschätzte Zwischenlösung oder längst überholt?
Serielle Hybride
Unterschätzte Zwischenlösung oder längst überholt?

Die reine E-Mobilität kommt nicht so schnell voran, wie es Klimaziele und Luftreinhaltepläne erfordern. Doch viele Fahrzeughersteller stellen derweil eine vergleichsweise simple Technologie auf die Räder, die für eine Zukunft ohne fossile Kraftstoffe Erkenntnisse liefern kann.
Von Mattias Schlenker

  1. ADAC Keyless-Go bietet Autofahrern keine Sicherheit
  2. Gesetzentwurf beschlossen Regierung verlängert Steuervorteile für Elektroautos
  3. Cabrio Renault R4 Plein Air als Elektro-Retroauto

    •  /