2017-1763: Poppler: Mehrere Schwachstellen ermöglichen u.a. die Ausführung beliebigen Programmcodes

Historie:

Version 1 (2017-10-09 12:33): Neues Advisory
Version 2 (2017-10-11 11:22): Für Fedora 25, 26 und 27 stehen neue Backport-Sicherheitsupdates in Form der Pakete 'poppler-0.45.0-8.fc25', 'poppler-0.52.0-7.fc26' und 'poppler-0.57.0-4.fc27' im Status 'testing' bereit, welche zusätzlich die Schwachstelle CVE-2017-14617 adressieren, die ebenfalls das Ausführen beliebigen Programmcodes ermöglicht. Die früheren Backport-Sicherheitsupdates FEDORA-2017-8f495b9e71, FEDORA-2017-14e050117b und FEDORA-2017-6d59576860 wurden in den Status 'obsolete' überführt und deshalb aus dieser Meldung entfernt.
Version 3 (2017-10-27 13:09): Für Fedora 25, 26 und 27 stehen neue Backport-Sicherheitsupdates in Form der Pakete 'poppler-0.45.0-9.fc25', 'poppler-0.52.0-9.fc26' und 'poppler-0.57.0-5.fc27' im Status 'testing' bereit, welche zusätzlich die Schwachstellen CVE-2017-14926 bis CVE-2017-14928 und CVE-2017-14975 bis CVE-2017-14977 adressieren, die ebenfalls die Durchführung verschiedener Denial-of-Service (DoS)-Angriffe ermöglichen. Die früheren Backport-Sicherheitsupdates FEDORA-2017-5fc8eaae56, FEDORA-2017-3630b414a1 und FEDORA-2017-6d4bdb5084 wurden in den Status 'obsolete' überführt und deshalb aus dieser Meldung entfernt. Zudem stehen mit den Paketen 'mingw-poppler-0.45.0-5.fc25' und 'mingw-poppler-0.52.0-5.fc26' zusätzliche Backport-Sicherheitsupdates für Fedora 25 und 26 im Status 'stable' bereit.

Betroffene Software

Office
Systemsoftware

Betroffene Plattformen

Linux

Beschreibung:

Eine Schwachstelle in Poppler ermöglicht einem entfernten, nicht authentisierten Angreifer die Ausführung beliebigen Programmcodes, mehrere weitere Schwachstellen ermöglichen einem solchen Angreifer die Durchführung verschiedener Denial-of-Service (DoS)-Angriffe.

Für Fedora 25, 26 und 27 stehen die Pakete 'poppler-0.45.0-7.fc25', 'poppler-0.52.0-6.fc26' und 'poppler-0.57.0-3.fc27' als Backport-Sicherheitsupdates im Status 'testing' bereit. Die Denial-of-Service-Schwachstelle CVE-2017-14520 wird nur in dem Sicherheitsupdate für Fedora 25 referenziert.