{"id":103636,"date":"2022-03-27T15:36:39","date_gmt":"2022-03-27T13:36:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-zlib-proyavlyayushhayasya-pri-szhatii-speczialno-oformlennyh-dannyh"},"modified":"2022-03-27T15:36:39","modified_gmt":"2022-03-27T13:36:39","slug":"uyazvimost-v-zlib-proyavlyayushhayasya-pri-szhatii-speczialno-oformlennyh-dannyh","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/uyazvimost-v-zlib-proyavlyayushhayasya-pri-szhatii-speczialno-oformlennyh-dannyh","title":{"rendered":"Sicherheitsanf\u00e4lligkeit in zlib, die beim Komprimieren speziell gestalteter Daten auftritt","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
In der Bibliothek zlib wurde eine Schwachstelle (CVE-2018-25032) festgestellt, die zu einem Buffer\u00fcberlauf f\u00fchrt, wenn versucht wird, eine speziell vorbereitete Zeichenfolge in den eingehenden Daten zu komprimieren. In der aktuellen Form haben die Forscher die M\u00f6glichkeit eines Absturzes des Prozesses demonstriert. Ob das Problem schwerwiegendere Folgen haben kann, ist noch unklar. <\/p>\n
Die Schwachstelle tritt ab der Version zlib 1.2.2.2 auf und betrifft auch die aktuelle Version zlib 1.2.11. Bemerkenswert ist, dass der Patch zur Behebung der Schwachstelle bereits 2018 vorgeschlagen wurde, aber die Entwickler ihm keine Beachtung schenkten und kein Korrektur-Release herausgaben (die Bibliothek zlib wurde zuletzt 2017 aktualisiert). Der Fix ist auch noch nicht in den von den Distributionen angebotenen Paketbestandteilen enthalten. Die Ver\u00f6ffentlichung von Fixes durch die Distributionen kann auf folgenden Seiten verfolgt werden: Debian, RHEL, Fedora, SUSE, Ubuntu, Arch Linux, OpenBSD, FreeBSD, NetBSD. Die Bibliothek zlib-ng ist von diesem Problem nicht betroffen. <\/p>\n
Die Schwachstelle tritt auf, wenn im Eingabestrom eine gro\u00dfe Anzahl von \u00fcbereinstimmenden Elementen gefunden wird, die verpackt werden sollen, wobei eine Komprimierung auf Basis von festen Huffman-Codes angewendet wird. Unter bestimmten Umst\u00e4nden kann der Inhalt des Zwischenpuffers, in den das komprimierte Ergebnis abgelegt wird, mit dem Speicher, in dem die Frequenztabelle der Zeichen gespeichert ist, \u00dcberlappungen aufweisen. Dies f\u00fchrt zur Bildung ung\u00fcltiger komprimierter Daten und zu einem Absturz aufgrund eines Buffer\u00fcberlaufs. <\/p>\n
Die Schwachstelle kann nur ausgenutzt werden, wenn eine Komprimierungsstrategie auf Basis fester Huffman-Codes verwendet wird. Eine solche Strategie wird gew\u00e4hlt, wenn im Code die Option Z_FIXED explizit aktiviert wird (Beispiel einer Sequenz, die bei Verwendung der Option Z_FIXED zu einem Absturz f\u00fchrt). Laut dem Code kann die Strategie Z_FIXED auch automatisch gew\u00e4hlt werden, wenn die f\u00fcr die Daten berechneten optimalen und statischen B\u00e4ume die gleiche Gr\u00f6\u00dfe haben. <\/p>\n
Es ist bisher unklar, ob Bedingungen f\u00fcr die Ausnutzung der Schwachstelle bei Verwendung der standardm\u00e4\u00dfig angewendeten Z_DEFAULT_STRATEGY-Komprimierungsstrategie geschaffen werden k\u00f6nnen. Wenn nicht, wird die Schwachstelle auf bestimmte spezifische Systeme beschr\u00e4nkt, in denen ausdr\u00fccklich die Option Z_FIXED angewendet wird. Wenn ja, k\u00f6nnte der Schaden durch die Schwachstelle erheblich sein, da die zlib-Bibliothek ein De-facto-Standard ist und in vielen beliebten Projekten verwendet wird, einschlie\u00dflich des Linux-Kernels, OpenSSH, OpenSSL, Apache httpd, libpng, FFmpeg, rsync, dpkg, rpm, Git, PostgreSQL, MySQL usw. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"