Alert! Lücke in Xpdf ermöglicht Codeschmuggel

Kees Cook vom Ubuntu-Security-Team hat eine Sicherheitslücke in Xpdf und darauf basierenden Bibliotheken und Anwendungen entdeckt, durch die Angreifer mit präparierten PDF-Dokumenten Schadcode einschleusen und ausführen können. Die Lücke lässt sich lokal ausnutzen, wenn Anwender manipulierte PDF-Dateien öffnen; auf Servern, die PDF-Dateien aus dem Netz automatisch mit verwundbarer Software verarbeiten, gelingt dies Angreifern auch über das Internet.

Die Sicherheitslücke geht auf fehlerhafte Prüfungen bei der Verarbeitung von in PDF-Dateien eingebetteter Schriftarten zurück; nähere Details sind bislang nicht bekannt. Beim Öffnen manipulierter PDF-Dateien kann fremder Code mit den Rechten des Anwenders ausgeführt werden. Ein Eintrag in der Datenbank Common Vulnerabilities and Exposures ist bereits vorbereitet, enthält jedoch noch keine weiteren Details.

Betroffen sind neben Xpdf das poppler-Projekt und bei einigen Linux-Distributionen auch KOffice, wenn dort Code etwa aus Xpdf statisch eingelinkt ist wie bei Ubuntu. Mehrere Linux-Distributoren verteilen bereits aktualisierte Xpdf-, poppler- und KOffice-Pakete, die den Fehler beheben. Administratoren sollten die Updates umgehend einspielen.

Siehe dazu auch:

• New xpdf packages fix arbitrary code exitution, Fehlermeldung der Debian-Entwickler
• poppler vulnerability, Fehlerbericht von Kees Cook vom Ubuntu-Security-Team
• KOffice vulnerability, Fehlermeldung von Kees Cook vom Ubuntu-Security-Team

(dmk)