Mehrere Heap Overflows in Plug-ins für Media-Framework GStreamer
Dadurch soll sich mit präparierten QuickTime-Dateien Code in ein System schleusen und starten lassen. Die Entwickler haben die Fehler in Version 0.10.12 beseitigt, die allerdings nur im Quellcode zur Verfügung steht.
- Daniel Bachfeld
Durch mehrere Heap Overflows in den GStreamer Good Plug-ins soll es möglich sein, mittels präparierter QuickTime-Dateien Code in ein System zu schleusen und zu starten. Freie Media-Player wie Totem und Amarok nutzen das GStreamer-Framework zum Abspielen von Audio- und Video-Dateien. Für einen erfolgreichen Angriff muss das Opfer eine Datei herunterladen und öffnen.
Die Entwickler haben die Fehler in Version 0.10.12 beseitigt, mittlerweile steht sogar schon 0.10.13 zum Download bereit, in der ein weiterer, nicht sicherheitsrelevanter Fehler beseitigt ist. Die neuen Versionen stehen im Quelltext zum Download bereit, die Linux-Distributoren dürften demnächst bereits übersetzte korrigierte Pakete veröffentlichen. Die Windows-Binaries sind allerdings bei Version 0.10.5 stehen geblieben. Für andere Betriebssystem halten die Entwickler eine Verfügbarkeitsliste vor: Download GStreamer.
Siehe dazu auch:
- GStreamer Heap Overflow and Array Index out of Bounds Vulnerabilities, Bericht von Tobias Klein
(dab)
