Thema
Heap Overflow
Sicherheits-Update für Foxit Reader
Angreifer können eine kritische Lücke ausnutzen, um einen Rechner mittels präparierter PDF-Dokumente zu infizieren.
Update des Tor-Projekts schließt kritische Lücke
Die Lücke ermöglicht nach Angaben der Entwickler vermutlich, einen PC aus der Ferne zu kompromittieren. Das Update beseitigt daneben weitere Fehler.
Red Hat warnt vor Lücke in OpenSSL
Eine Race Condition im Parsing-Code für TLS-Erweiterungen soll sich missbrauchen lassen, um Code in einen Server zu schleusen und zu starten.
Kritisch oder nicht: Windows-Fehler scheidet die Geister
Verschiedene Sicherheitsfirmen sehen in einem Pufferüberlauf im Windows-Kern den Einstiegspunkt, um beliebigen Code mit höchsten Rechten auszuführen. Der Entdecker des Fehlers bezweifelt das.
Exploit-Schutz von Windows liegt meistens brach
Nur wenige Anwendungen nutzen die unter Windows verfügbare Datenausführungsverhinderung und Speicherverwürfelung, um Angriffe auf Schwachstellen ins Leere laufen zu lassen.
VLC 1.0.6 erhöht Stabilität und schließt Lücken
Zu den Lücken gehören Heap Overflows in den Audi-Decodern für DTS, MPEG und A/53 sowie Speicherzugriffsfehler in den AVI-, ASF- und Matroska-Demuxern.
Microsoft schließt sieben Lücken in Excel
Microsoft hat zwei Sicherheits-Updates veröffentlicht, die eine Lücke im Windows Movie Maker und sieben Lücken in Excel schließen.
Schwachstellen in Google Picasa geschlossen
Angreifer können mit präparierten JPG-Bildern eigenen Code in einen Windows-Rechner schleusen und starten.
Elf Lücken im RealPlayer geschlossen
Elf Buffer Overflows und Heap Overflows schließen die vom Hersteller herausgegebenen Updates für die diversen Varianten des RealPlayers. Alternativ zum Update kann man den Player auch deinstallieren – er wird kaum noch benötigt.
Schwachstelle in Mac OS X seit Monaten ungepatcht
Neue Informationen zu einer seit rund sieben Monaten bekannten Sicherheitslücke könnten Apple nun zwingen, das Problem endlich zu beseitigen. Bei der Lücke handelt es sich um die fehlerhafte Implementierung der C-Funktion dtoa.
Schwachstelle in Novell eDirectory geschlossen
Angreifer können einen Heap Overflow aus der Ferne ausnutzen, um den Server zum Absturz zu bringen oder in ihn einzudringen.
Schwachstelle im freien Bildbearbeitungstool Gimp
Bei der Verarbeitung präparierter BMP-Bilder tritt ein Fehler auf, der sich für einen Heap Overflow ausnutzen lässt. Dadurch könnte ein Angreifer seinen Code in ein System schleusen und starten. Der Fehler ist bislang nur im GIT-Repository behoben.
IBM und Symantec patchen kritische Lücken in ihren Produkten
Eine kritische Lücke in der Bibliothek eines Drittherstellers zur Verarbeitung von Excel-Dateien macht Symantecs Mail-Sicherheits- und Data-Loss-Prevention-Produkte und IBMs Lotus Notes angreifbar.
Bildbetrachter IrfanView 4.25: Gestopftes Sicherheitsleck und neue Funktionen
Angreifer konnten in der vorherigen Version mittels präparierter Bilder eigenen Code in ein System schleusen und mit den Rechten des Anwenders ausführen.
Lücke in Sound-Verarbeitungsbibliothek Libsndfile
Durch das Abspielen präparierter Audiodateien lässt sich ein System kompromittieren. Betroffen ist auch die aktuelle Version von Winamp.
Schwachstelle in Open-Source-Render-Bibliothek geschlossen
Ein Integer Overflow in der Layout- und Renderbibliothek Pango lässt sich möglicherweise für einen Heap Overflow ausnutzen. Zahlreiche Open-Source-Anwendungen benutzen die Bibliothek.
Kritische Lücke in DivX Web Player geschlossen
Ein Angreifer könnte durch manipulierte DivX-Dateien respektive Streams seinen Code auf ein System schleusen und ausführen. Dazu genügt der Aufruf einer Webseite.
Ghostscript patzt ebenfalls bei PDFs
Der Sicherheitsdienstleister Secunia warnt vor einer kritischen Lücke in Ghostscript, die sich durch speziell präparierte PDF-Dateien ausnutzen lasse.
Lücke in Plug-in für Bildbetrachter IrfanView
Angreifer können eine Sicherheitslücke in einem Plug-in für die Verarbeitung von Bildern im XPM-Format ausnutzen, um ein System mit Schädlingen zu infizieren. Ein Update soll das Problem lösen.
Kritische Schwachstellen in xine-lib geschlossen
Die Entwickler der Multimedia-Bibliothek xine-lib haben in Version 1.1.16.3 zwei Sicherheitslücken geschlossen und weitere Fehler behoben.
Lücke in Sound-Verarbeitungs-Bibliothek Libsndfile
Durch das Abspielen präparierter CAF-Audiodateien lässt sich ein System kompromittieren. Betroffen sind auch die aktuellen Versionen von Winamp.
Mehrere Heap Overflows in Plug-ins für Media-Framework GStreamer
Dadurch soll sich mit präparierten QuickTime-Dateien Code in ein System schleusen und starten lassen. Die Entwickler haben die Fehler in Version 0.10.12 beseitigt, die allerdings nur im Quellcode zur Verfügung steht.
Update für QuickTime schließt zahlreiche Lücken
Laut Apple ermöglichen alle Lücken das Einschleusen und Starten von Code auf einem System mit den Rechten des angemeldeten Nutzers. Daneben bringt das Update mehrere Verbesserungen mit.
Sicherheitslücke in SAP GUI
Ein Heap Overflow in einem ActivX-Control soll sich ausnutzen lassen, um ein System zu kompromittieren.
Sicherheits-Update für Helix-Server von RealNetworks
Mit dem Update will der Hersteller RealNetworks mehrere Buffer Overflows in dem Streaming-Server beseitigen, die sich zum Einschleusen und Ausführen von Code ausnutzen lassen sollen.
Wieder Lücke in VLC media player
Ein Heap Overflow bei der Verarbeitung von Real Media lässt sich zum Einschleusen und Starten von Code ausnutzen. Ein Update ist zwar angekündigt, Anwender sollten jedoch alternative Medienspieler in Erwägung ziehen.
Apple schließt acht kritische Lücken in Safari für Windows
In der neuen Version 3.2 für Mac OS X mussten die Apple-Entwickler nur vier Lücken schließen. Aber auch dort lassen sich zwei zum Einschleusen von Code missbrauchen.
Drei kritische Lücken in Adobe PageMaker
Zwei der Lücken beruhen auf Stack und Heap Overflows, die Adobe durch ein Update beseitigt. Die dritte Lücke wird noch untersucht.
Sicherheits-Update für Novell eDirectory
Das Update schließt unter anderem zwei kritische Lücken, durch die Angreifer aus der Ferne das System zum Absturz bringen oder die Kontrolle übernehmen können.
Kritische Lücke im freien Medienspieler MPlayer
Ein Angreifer kann mittels präparierter Videos im Real-Format Schadcode in einen Rechner schleusen und starten.
heise online Themen