Mehrere Verwundbarkeiten wurden in libgd2 entdeckt, einer Bibliothek
für programmatische Grafikerstellung und -manipulation. Das Common
Vulnerabilities and Exposures
-Projekt identifiziert folgende
Probleme:
Graustufen-PNG-Dateien, die nicht valide tRNS-Chunk-CRC-Werte
enthalten, könnten eine Diensteverweigerung (denial of service
)
auslösen, falls ein in bösartiger Absicht erstelltes Bild in eine
Anwendung geladen wird, die libgd verwendet.
Ein Arrayindexfehler in der Bearbeitung von GIFs könnte eine Diensteverweigerung (Absturz wegen Heap-Korruption) auslösen, falls eine in bösartiger Absicht erstellte GIF-Datei mit außerordentlich hohen Farbindexwerten versehen ist.
Die Funktionen imagearc() und imagefilledarc() in libgd ermöglichen es Angreifern, die die Gradwerte für die Bögen in den genannten Zeichenfunktionen steuern können, einen Diensteverweigerungsangriff (übermäßige CPU-Auslastung) durchzuführen.
Verschiedene Integer-Überläufe kommen in Funktionen von libgd vor, welche Bilder neu erstellen oder deren Größe verändern. Diese Schwachstellen ermöglichen es Angreifern, die die an diese Funktionen übergebenen Parameter kontrollieren können, einen Absturz auszulösen oder mit den Rechten des Benutzers, der die Anwendung oder einen gegen libgd gelinkten Interpreter ausführt, beliebigen Code auszuführen.
Für die Stable-Distribution (Etch) wurden diese Probleme in Version Version 2.0.33-5.2etch1 behoben.
Für die Unstable-Distribution (Sid) wurden diese Probleme in Version 2.0.35.dfsg-1 behoben.
Wir empfehlen Ihnen, Ihre libgd2-Pakete zu aktualisieren.
MD5-Prüfsummen der aufgeführten Dateien stehen in der ursprünglichen Sicherheitsankündigung zur Verfügung.