Angeblich kritische Lücke in Xvid

Meldungen mehrerer Sicherheitsdienstleister zufolge steckt in der Video-Codec-Bibliothek Xvid 1.1.2 eine Sicherheitslücke, mit der es Angreifern möglich sein soll, einen PC unter ihre Kontrolle zu bringen. Für einen erfolgreichen Angriff soll es genügen, dass ein Opfer eine präparierte Xvid-AVI-Datei mit einer Anwendung öffnet, die auf die Bibliothek zurückgreift. Betroffen sollen sowohl Windows- als auch Linux-Anwendungen sein.

Die Fehler sind in der Datei mbcoding.c in den Funktionen get_intra_block, get_inter_block_h263 und get_inter_block_mpeg zu finden. Beim Berechnen des Koeffizienten-Index kann es zu einem Überlauf kommen, in dessen Folge Teile des Speichers durcheinandergeraten können. Nach Angaben des Xvid-Projektleiters Michael Militzer sei sei nur schwer nachvollziehbar, wie sich darüber Code einschleusen und ausführen lassen soll. Allerdings wurde das Xvid-Team auch erst vor Kurzem von der heise-Security-Redaktion über das Problem informiert, eine abschließende Analyse steht noch aus. Fest steht aber, dass das Problem nicht auf AVI-Dateien begrenzt ist, sondern alle Container-Formate wie MP4, OGM und Matroska betroffen sind.

Ein Update gibt es noch nicht, es sei aber nach Angaben von Militzer bereits in Arbeit. Als Workaround soll das Entfernen der Compilerdirektiven #ifdef _DEBUG und #endif um die Zeilen

if(coeff>=64)	{
DPRINTF(XVID_DEBUG_ERROR,"error: overflow in coefficient index\n");
return;
}

in get_intra_block und

if(p>=64)	{
DPRINTF(XVID_DEBUG_ERROR,"error: overflow in coefficient index\n");
return;
}

in get_inter_block_h263 und get_inter_block_mpeg helfen. Wie der Eintrag schon vermuten lässt, hat man dort einen potenziellen Überlauf vorausgesehen, aus Performance-Gründen allerdings in der normalen Version ausgeklammert.

Siehe dazu auch:

• Xvid library get_intra_block code execution, Fehlerbericht von ISS
• Xvid Avi File Parsing Array Indexing Vulnerability, Fehlerbericht von Secunia

(dab)