Abo
  • Services:
Anzeige
Libxfont: Weitere Uralt-Lücken im X-Server entdeckt
(Bild: X.org)

Libxfont: Weitere Uralt-Lücken im X-Server entdeckt

Durch fehlende Verifizierungen in Libxfont könnten Angreifer weitergehende Rechte erhalten. Diese Fehler sind vermutlich seit der Einführung des Codes im September 1991 vorhanden.

Anzeige

Die Codebasis des X-Servers ist über Jahrzehnte gewachsen, dementsprechend sind viele Bestandteile sehr alt. Nun weist das Team erneut auf Sicherheitslücken hin, die vermutlich mehr als 20 Jahre unentdeckt geblieben sind und damit wohl auch in allen derzeit verfügbaren X-Servern vorhanden sind. Bereits im vergangenen Oktober wurden ähnlich alte kritische Fehler entdeckt.

Damit nicht jeder laufende X-Server auf die installierten Schrifttypen zugreifen muss, führte das Entwicklerteam im September 1991 mit X11R5 ein spezielles Serverprotokoll zur Handhabung eben dieser Schrifttypen ein. Wie Oracle-Mitarbeiter Alan Coopersmith jetzt schreibt, geht das Team davon aus, dass die nun gefundenen Fehler seit der ersten Einführung in der dazugehörigen Bibliothek Libxfont vorhanden sind.

Demnach entstehen die Fehler daraus, dass die vom Font-Server gesendeten Daten nicht darauf geprüft werden, ob sie gültige Protokoll-Daten sind. Dies könnte ausgenutzt werden, um Speicherüberläufe zu provozieren, wodurch angemeldete Nutzer weitergehende Rechte erlangen könnten. Ebenso könnte ein Angreifer, der den Font-Server kontrolliert, eventuell Code mit den Rechten des X-Servers ausführen - schlimmstenfalls also mit Root-Rechten.

Gefunden wurden die Fehler von Ilja van Sprundel, der für IOActive arbeitet und auch schon vor einem Jahr eine große Zahl von Fehlern in vielen Teilen des X.org-X-Servers gefunden hat. Das X.org-Team hat die Fehler gemeinsam mit van Sprundel bereits behoben, die Patches sind via Git im Hauptentwicklungszweig verfügbar. Eine neue stabile Version, die die Fehler behebt, sollte ebenfalls demnächst erscheinen.


eye home zur Startseite
Hello_World 16. Mai 2014

Das ist Quatsch, denn das zentrale Sicherheitsfeature bei Wayland ist, dass...

JakeJeremy 15. Mai 2014

Oder schlecht.

Arcardy 15. Mai 2014

War das Ironie? Also ich unterstütz deine Aussage aber unironisch.

Felix_Keyway 14. Mai 2014

Wayland ist moderne, stabiler und sicherer, der X-Server sollte inzwischen nicht mehr...

dschinn1001 14. Mai 2014

genauso alt wie die Frage, welcher Computer den ersten Fehler hatte ... noch älter als...



Anzeige

Stellenmarkt
  1. über Hays AG, Frankfurt
  2. ING-DiBa AG, Nürnberg, Frankfurt
  3. T-Systems International GmbH, München, Leinfelden-Echterdingen
  4. Bundesarbeitsgemeinschaft für Rehabilitation e.V. (BAR), Frankfurt am Main


Anzeige
Blu-ray-Angebote
  1. (u. a. John Wick, Bastille Day, Sicario, Leon der Profi)
  2. 29,99€ (Vorbesteller-Preisgarantie)
  3. 49,00€ (zzgl. 4,99€ Versand oder versandkostenfrei bei Abholung im Markt)

Folgen Sie uns
       


  1. Google

    Alphabet macht weit über 5 Milliarden Dollar Gewinn

  2. Quartalsbericht

    Microsofts Zukunft ist erfolgreich in die Cloud verschoben

  3. Quartalsbericht

    Amazon macht erneut riesigen Gewinn

  4. Datenschutzverordnung im Bundestag

    "Für uns ist jeden Tag der Tag der inneren Sicherheit"

  5. Aspire-Serie

    Acer stellt Notebooks für jeden Geldbeutel vor

  6. Acer Predator Triton 700

    Das Fenster oberhalb der Tastatur ist ein Clickpad

  7. Kollaborationsserver

    Owncloud 10 verbessert Gruppen- und Gästenutzung

  8. Panoramafreiheit

    Aidas Kussmund darf im Internet veröffentlicht werden

  9. id Software

    Nächste id Tech setzt massiv auf FP16-Berechnungen

  10. Broadcom-Sicherheitslücken

    Samsung schützt Nutzer nicht vor WLAN-Angriffen



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Siege M04 im Test: Creatives erste Sound-Blaster-Maus überzeugt
Siege M04 im Test
Creatives erste Sound-Blaster-Maus überzeugt

In eigener Sache: Die Quanten kommen!
In eigener Sache
Die Quanten kommen!
  1. In eigener Sache Golem.de führt kostenpflichtige Links ein
  2. In eigener Sache Golem.de sucht Marketing Manager (w/m)
  3. In eigener Sache Golem.de geht auf Jobmessen

Akkutechnik: Was, wenn nicht Lithium?
Akkutechnik
Was, wenn nicht Lithium?
  1. Geländekauf in Nevada Google wird Nachbar von Teslas Gigafactory
  2. Lagerverkehr Amazon setzt auf Gabelstapler mit Brennstoffzellen
  3. Lithium-Akkus Durchbruch verzweifelt gesucht

  1. Re: 3750¤ für nen "Stuhl"

    ibecf | 02:21

  2. Re: So langsam ists wie mit den Wunderakkus

    Onkel Ho | 02:16

  3. Re: Ich dachte Prüfsummen wären technisch absolut...

    Ninos | 02:01

  4. Re: Also wird der Uploaded.net Premium weiter...

    kidding | 01:39

  5. Re: Wer braucht das?

    MDeavy | 01:35


  1. 00:11

  2. 23:21

  3. 22:37

  4. 20:24

  5. 18:00

  6. 18:00

  7. 17:42

  8. 17:23


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel