Mehrere Verwundbarkeiten wurden im xpdf-Code entdeckt, der in koffice, einer
integrierten Office-Suite für KDE, eingebettet ist. Diese Probleme könnten
einem Angreifer ermöglichen, beliebigen Code auszuführen, indem der Benutzer
dazu gebracht wird, ein speziell erzeugtes PDF-Dokument zu importieren.
Das Common Vulnerabilities and Exposures
-Projekt identifiziert die
folgenden Probleme:
Ein Feldzugriff-Fehler in der Methode DCTStream::readProgressiveDataUnit in xpdf/Stream.cc in Xpdf 3.02pl1, wie sie in poppler, teTeX, KDE, KOffice, CUPS und anderen Produkten verwendet wird, ermöglicht entfernten Angreifern die Auslösung einer Speicherkorruption und die Ausführung beliebigen Codes mittels einer speziell erzeugten PDF-Datei.
Ein Integer-Überlauf in der Methode DCTStream::reset in xpdf/Stream.cc in Xpdf 3.02p11 ermöglicht entfernten Angreifern die Ausführung beliebigen Codes mittels einer speziell erzeugten PDF-Datei, was zu einem Heap-basierten Pufferüberlauf führt.
Ein Heap-basierter Pufferüberlauf in der Methode CCITTFaxStream::lookChar in xpdf/Stream.cc in Xpdf 3.02p11 ermöglicht entfernten Angreifern die Ausführung beliebigen Codes mittels einer PDF-Datei, die einen speziell erzeugten CCITTFaxDecode-Filter enthält.
Aktualisierungen für die alte Stable-Distribution (Sarge) werden so bald wie möglich zur Verfügung gestellt.
Für die Stable-Distribution (Etch) wurden diese Probleme in Version 1:1.6.1-2etch2 behoben.
Wir empfehlen Ihnen, Ihr koffice-Paket zu aktualisieren.
MD5-Prüfsummen der aufgeführten Dateien stehen in der ursprünglichen Sicherheitsankündigung zur Verfügung.