Bildbetrachter IrfanView 4.25: Gestopftes Sicherheitsleck und neue Funktionen
Angreifer konnten in der vorherigen Version mittels präparierter Bilder eigenen Code in ein System schleusen und mit den Rechten des Anwenders ausführen.
- Daniel Bachfeld
IrfanView 4.25 beseitigt einen Fehler im Umgang mit fehlerhaften TIFF-Dateien, der zu einem Integer Overflow führen kann. Angreifer können dies mittels präparierter Bilder für einen Heap Overflow ausnutzen und dadurch eigenen Code in ein System schleusen und mit den Rechten des Anwenders ausführen.
Für einen erfolgreichen Angriff muss der Anwender allerdings das Bild resampeln oder die Screen-Fitting-Option nutzen. Die Version 4.2.5 bringt darüber hinaus viele neue Funktionen mit und unterstützt neue Formate. Eine komplette Übersicht der Änderungen ist in der History of Changes zu finden.
Siehe dazu auch:
- IrfanView 1BPP Image Resampling Integer Overflow Vulnerability, Bericht von Secunia
- IrfanView im heise Software-Verzeichnis
(dab)
