Kritische Lücken in Linux: TrueType-Fonts

    Kritische Lücken in Linux: TrueType-Fonts



    Alle reden über präparierte Bilder, denken sie an Würmer und Viren, aber auch manipulierte TrueType-Zeichensätze bewirken ein Eindringen der Fieslinge.



    Der Linux-Distributor Suse gibt deshalb neue Pakete für die Freetype2-Bibliothek zur Darstellung von TrueType-Zeichensätzen heraus, in denen insgesamt drei kritische Schwachstellen beseitigt sind. Nach Angaben von Suse nutzen mehr als 900 Pakete unter Suse Linux diese Bibliothek...und so gut wie jede GUI-Anwendung greift darauf zurück.

    Alle drei Lücken beruhen auf Integer Oberflows, in deren Folge Teile des Heaps überschrieben werden. Suse stuft das Risiko auf einer bis zehn reichenden Skala zur Beurteilung von Sicherheitslücken immerhin mit einer satten Acht ein. Zwei der entdeckten Sicherheitslücken finden sich in der Freetype2-Version 2.2 und den vorhergehenden Versionen, eine Lücke betrifft nur 2.1.10 und vorhergehende Ausgaben.

    Nach dem Einspielen der neuen Pakete sollten sich die Anwender aus dem Window-Manager ausloggen, danach wieder einloggen, damit diese aktualisierte Bibliothek auch tatsächlich benutzt wird. In der offiziellen Version 2.2.1 ist der Fehler ebenfalls behoben. Ubuntu und Mandriva haben schon Mitte des Monats ihre Freetype-Pakete aktualisiert. Nun zieht Suse nach.

    Siehe auch:

    Quelle