Gefährliche JPEGs

Ich betreibe eine Website für eine Foto-Community, auf der Besucher Bilder einstellen können. Wie kann ich sicherstellen, dass sich darunter keine befinden, die die unlängst bekannt gewordene Sicherheitslücke ausnutzen?

Die gefährlichen Bestandteile von infizierten JPEG-Dateien zerstört man am besten direkt nach dem Upload auf den Server. Dazu genügt es, ein Bild zunächst in ein Format (etwa BMP) zu konvertieren, das den JPEG-Kommentar (COM) nicht übernimmt. Das macht die schädlichen Bestandteile unwirksam. Danach kann man das Bild wieder als JPEG abspeichern. Eine Stapelkonvertierung ganzer Verzeichnisse erlaubt beispielsweise das plattformübergreifend einsetzbare ImageMagick (siehe Soft-Link).

Wer eine solche Konvertierung unter einem für die Sicherheitslücke anfälligen System wie Windows XP oder Windows Server 2003 vornimmt, muss allerdings zunächst den entsprechenden Sicherheitspatch von Microsoft installiert haben und sicherstellen, dass die Konvertierungssoftware keine eigenen GDI-Bibliotheken benutzt. (atr)

(atr)