VulDB: GNU libpng bis 1.0.16rc1 und 1.2.6rc1 PNG-Dateien NULL-Pointer Pufferüberlauf
Allgemein
scipID: 779
Betroffen: GNU libpng bis 1.0.16rc1 und 1.2.6rc1
Veröffentlicht: 04.08.2004 (Chris Evans)
Risiko: 
kritisch
Beschreibung
PNG ist ein relativ junges Dateiformat für Bilder, das besonders wegen seiner hohen Kompression bei geringem Datenverlust geschätzt wird. Vorwiegend im Linux-Umfeld werden PNG-Dateien gerne als Ersatz für GIF-Dateien eingesetzt und die meisten modernen Webbrowser unterstützen diese ebenfalls. Wie nun auf der Projekt-Webseite gemeldet wurde, exitiert ein Pufferüberlauf durch einen NULL-Pointer bei der Verarbeitung von PNG-Dateien durch die Bibliothek. Ein Angreifer sieht sich dadurch in der Lage, beliebigen Programmcode auszuführen. Genaue technische Details oder ein Exploit zur Schwachstelle sind bisher nicht bekannt. Der Fehler wurde in libpng 1.0.16rc1 und 1.2.6rc1 behoben. Hersteller von Applikationen, die ebenfalls auf diese Library zurückgreifen, haben teilweise das Problem schon in ihren Anwendungen gelöst (z.B. Mozilla [http://www.heise.de/security/news/meldung/49778]). Die Linux-Distributoren haben in der Regeln innerhalb von 24 Stunden eine Aktualisierung der betroffenen Pakete bereitgestellt. Microsoft hingegen bestätigte den Fehler jedoch erst im Februar 2005 [http://www.microsoft.com/technet/security/bulletin/ms05-009.mspx]. Einige Patches der betroffenen Betriebssysteme und Applikationen wurden zeitgleich angeboten.
Diese Schwachstelle zeigt einmal mehr, dass konstruktive Attacken wie Pufferüberlauf-Angriffe auf passive Weise untergebracht werden können. Schon alleine das Besuchen einer Webseite, die korrupte PNG-Dateien enthält, könnte zum Angriff führen. Dies sollte zum wiederholten Male in unser Gedächtnis rufen, dass Automatismen stets ein Mehr an Gefahr mit sich bringen.
Exploiting
Klasse: Pufferüberlauf
Lokal: Ja
Remote: Ja
Exploit: http://www.securityfocus.com/bid/10857/exploit/
Milw0rm: –
Nessus: –
ATK: –
Gegenmassnahmen
Status: Es ist eine aktualisierte Software-Version verfügbar.
Bestätigung: http://www.mozilla.org/projects/security/known-vulnerabilities.html
Massnahme: Ein Upgrade auf die aktuellste Software-Version durchführen.
Link: http://sourceforge.net/project/showfiles.php?group_id=5624
Snort: 2673 (WEB-CLIENT libpng tRNS overflow attempt)
Pattern: |89|PNG|0D 0A 1A 0A|
Quellen
Advisory: http://scary.beasts.org/security/CESA-2004-001.txt
CVE: CVE-2004-0597
OSVDB: –
Securityfocus: 15495
Secunia: 12219
X-Force: 16894
Securitytracker: –
VUPEN: –
Securiteam: http://www.securiteam.com/windowsntfocus/5PP012KEUO.html
Tecchannel: –
Heise: 49786
smSS: smSS 19. August 2004
Andere: http://lists.netsys.com/pipermail/full-disclosure/2004-August/024787.html
Andere: http://www.openpkg.org/security/OpenPKG-SA-2004.035-png.html
Buchtipp: Marc Ruef, Marko Rogge, Uwe Velten und Wolfram Gieseke (2002), Hacking Intern – Angriffe, Strategien, Abwehr, Data Becker, ISBN 381582284X (amazon.de)
