GNUnets libextractor lässt sich Code unterjubeln
Die libextractor-Bibliothek aus GNUnet ist beim Verarbeiten von asf- und qt-Dateien anfällig für einen Pufferüberlauf.
Die libextractor [1]-Bibliothek des GNUnet [2]-Projekts, das sich anonymen Peer-to-Peer-Netzen widmet, lässt sich aufgrund fehlerhafter Programmierung der Verarbeitungsmodule für asf- und qt-Dateien Schadcode unterjubeln. libextractor dient zum Auslesen von Metadaten aus Dateien.
Mit manipulierten Dateien könnten Angreifer in der Bibliothek einen Heap-basierten Pufferüberlauf auslösen (siehe auch den Hintergrundartikel Ein Haufen Risiko [3] auf heise Security). Der Entdecker der Schwachstellen, Luigi Auriemma, verlinkt in seiner Sicherheitsmeldung einen Proof-of-Concept-Exploit, der die Sicherheitslücke demonstriert. Nutzer von libextractor sollten auf die Version 0.5.14 aktualisieren; für Windows steht noch keine neue Version bereit.
Siehe dazu auch: (dmk [4])
- Download [5] der fehlerbereinigten libextractor 0.5.14
- Sicherheitsmeldung [6] von Luigi Auriemma
URL dieses Artikels:
https://www.heise.de/-126030
Links in diesem Artikel:
[1] http://gnunet.org/libextractor/index.php?xlang=English
[2] http://gnunet.org/
[3] https://www.heise.de/hintergrund/Ein-Haufen-Risiko-270800.html
[4] mailto:dmk@heise.de
[5] http://gnunet.org/libextractor/download.php3?xlang=English
[6] http://aluigi.altervista.org/adv/libextho-adv.txt
Copyright © 2006 Heise Medien