2021-0904: Exiv2: Mehrere Schwachstellen ermöglichen u. a. das Ausführen beliebigen Programmcodes

Historie:

Version 1 (2021-04-30 13:57): Neues Advisory
Version 2 (2021-05-03 09:38): Die Schwachstellen CVE-2021-29470 und CVE-2021-29473 werden mit Backport-Sicherheitsupdates für Fedora 33 und 34 in 'mingw-exiv2' adressiert. Diese Updates befinden sich im Status 'testing'.
Version 3 (2021-05-11 09:07): Canonical stellt Sicherheitsupdates bereit, durch welche die Schwachstellen mit Ausnahme von CVE-2021-29473 in 'exiv2' für Ubuntu 21.04, Ubuntu 20.10, Ubuntu 20.04 LTS, Ubuntu 18.04 LTS und Ubuntu 16.04 ESM adressiert werden.

Betroffene Software

Systemsoftware

Betroffene Plattformen

Linux

Beschreibung:

Ein Angreifer kann mehrere Schwachstellen aus der Ferne ausnutzen, um beliebigen Programmcode auszuführen, verschiedene Denial-of-Service (DoS)-Angriffe durchzuführen oder Informationen auszuspähen. Für die Ausnutzung der Schwachstellen sind keine Privilegien erforderlich. Zwei Schwachstellen erfordern die Interaktion eines Benutzers.

Fedora stellt für Fedora 33 und 34 die Pakete 'exiv2-0.27.3-6.fc33' und 'exiv2-0.27.3-6.fc34', derzeit im Status 'testing', zur Behebung der Schwachstellen bereit.

Schwachstellen:

CVE-2021-29457

Schwachstelle in Exiv2 ermöglicht Ausführen beliebigen Programmcodes

CVE-2021-29458

Schwachstelle in Exiv2 ermöglicht u. a. Denial-of-Service-Angriff

CVE-2021-29470

Schwachstelle in Exiv2 ermöglicht Denial-of-Service-Angriff

CVE-2021-29473