Fehler im Unix-Bildbetrachter xzgv

Der Unix-Bildbetrachter xzgv enthält eine Schwachstelle in der Routine read_prf_file zur Verarbeitung von Bildern im selten benutzten PR-Format (Polychrome Recursive Format). Nach Angaben des Sicherheitsdienstleisters iDEFENSE provozieren Bilder mit bestimmter Höhe und Breite einen Integer Overflow. In der Folge wird im Speicher nicht genügend Platz reserviert, sodass xzgv beim Einlesen des Bildes Teile des Speichers überschreibt.

Eventuell lässt sich so Code in ein System einschleusen und mit den Rechten des angemeldeten Anwenders ausführen. Suse, Gentoo, Debian und FreeBSD sollen den Fehler in den Paketen ihrer Distributionen bereits bestätigt haben. Bislang hat aber noch keiner neue Pakete herausgegeben. Ein Patch zum Schließen der Sicherheitslücke ist auf den Seiten des xzgv-Entwicklers verfügbar.

Siehe dazu auch: (dab)

• Security Advisory von iDEFENSE