Peng!!! Comic HACKT Linux
Der unter Linux weit verbreitete Dokumenten-Betrachter Evince weist eine kritische Lücke auf, die sich ausnutzen lässt, um das System mit Schad-Software zu infizieren. Der Fehler lässt sich durch Comic-Books auslösen; Updates werden bereits ausgeliefert.
(Bild: Screenshot Brian Bartolome)
Evince ist bei vielen Linux-Desktops die Standard-Applikation zur Anzeige von Dokumenten wie PDFs, TIFFs, Tex-DVI- und Postscript-Dateien – und auch Comic-Books. Letztere sind Archive mit Datei-Endungen wie .cbz für ZIP, .cbr für RAR und cbt für TAR. Über einen geschickt gewählten Dateinamen kann ein Angreifer das zum Auspacken genutzte TAR-Programm dazu bewegen, beliebige Befehle auf dem System auszuführen.
Der Entdecker der Lücke, Felix Wilhelm aus Googles Security Team, demonstriert das Problem, indem er Evince die Datei covfefe.evince im Home-Verzeichnis des Anwenders anlegen lässt. Wie der Evince-Entwickler Michael Catanzaro anmerkt, ist es nicht unbedingt erforderlich, dass der Anwender das bösartige Comic-Archiv öffnet: Weil sich der Fehler über den Thumbnailer auslösen lässt, genügt es vermutlich, eine bösartige oder kompromittierte Web-Seite aufzusuchen, um den Fehler auszulösen und sich zu infizieren.
Fixes sind unterwegs
Betroffen sind laut dem Bug-Tracker-Eintrag zu CVE-2017-1000083 Evince command injection vulnerability in CBT handler die Versionen Evince 3.24.x. Die Evince-Entwickler haben das Problem prompt gefixt und die Linux-Distributoren haben auch bereits aktualisierte Pakete erstellt. Beim Schreiben dieser Nachricht poppte eine Meldung auf, dass Ubuntu Sicherheits-Updates installieren will. (ju)
