2017-0909: jbig2dec: Mehrere Schwachstellen ermöglichen verschiedene Denial-of-Service-Angriffe und das Ausspähen von Informationen

Historie:

Version 1 (2017-05-24 20:13): Neues Advisory

Betroffene Software

Systemsoftware

Betroffene Plattformen

Linux

Beschreibung:

Mehrere Schwachstellen in jbig2dec 0.13 und möglicherweise früher ermöglichen einem entfernten, nicht authentisierten Angreifer die Durchführung verschiedener Denial-of-Service (DoS)-Angriffe und das Ausspähen sensitiver Informationen aus dem Prozessspeicher mit Hilfe speziell präparierter 'JB2'-Dateien. Eine der Schwachstellen lässt sich möglicherweise zur Ausführung beliebigen Programmcodes ausnutzen.

Artifex hat bisher noch nicht auf die Veröffentlichung der Schwachstellen reagiert, da die aktuelle Version 0.13 als von Ghostscript separates Produkt betrachtet wird und daher nur eingeschränkten Support erhält.

Canonical stellt für Ubuntu Linux 14.04 LTS, 16.04 LTS, 16.10 und Ubuntu 17.04 Backport-Sicherheitsupdates für 'jbig2dec' bereit. Die Schwachstelle CVE-2016-9601 betrifft dabei nur Ubuntu 14.04 LTS, Ubuntu 16.04 LTS und Ubuntu 16.10.

Schwachstellen:

CVE-2016-9601

Schwachstelle in Ghostscript / jbig2dec ermöglicht Denial-of-Service-Angriff

CVE-2017-7885

Schwachstelle in jbig2dec ermöglicht Denial-of-Service-Angriff und Ausspähen von Informationen

CVE-2017-7975

Schwachstelle in jbig2dec ermöglicht u.a. Denial-of-Service-Angriff

CVE-2017-7976