Alert! Zahlreiche kritische Lücken in xpdf beseitigt [Update]

Ein Update für den freien PDF-Viewer xpdf behebt zahlreiche Schwachstellen, von denen sich einige zum Einschleusen und Ausführen von Code ausnutzen lassen. Ursache der Probleme sind Buffer Overflows und andere Fehler im JBIG2-Decoder, wie sie kürzlich auch die Produkte von Adobe aufwiesen. Die Fehler lassen sich durch präparierte PDF-Dokumente provozieren. Betroffen ist xpdf 3.x

Der Linux-Distributor Red Hat listet in seinem Fehlerbericht insgesamt zehn Schwachstellen in xpdf auf, wovon sieben die Infektions eines PCs ermöglichen, drei führen nur zum Absturz der Anwendung. Das offizielle Update Xpdf 3.02pl3 des Herstellers Foolab behebt die Fehler. Zusätzlich steht ein Patch bereit. Die Linux-Distributoren geben ebenfalls aktualisierte Pakete heraus oder bereiten dies vor.

Da auch Anwendungen wie KOffice und poppler Teile des xpdf-Codes nutzen, könnten auch diese verwundbar sein. Bislang gibt es jedoch noch keine Meldungen dazu.

[Update]Die Linuxdistributoren verteilen nun auch aktualisierte Pakete für KPDF und poppler.[/Update]

• xpdf security update, Bericht von Red Hat
• Lücken in Unix-Versionen des Adobe Reader und Acrobat geschlossen, Bericht auf heise Security
• kdegraphics security update, Bericht von Red Hat

(Daniel Bachfeld) / (dab)