{"id":103636,"date":"2022-03-27T15:36:39","date_gmt":"2022-03-27T13:36:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-zlib-proyavlyayushhayasya-pri-szhatii-speczialno-oformlennyh-dannyh"},"modified":"2022-03-27T15:36:39","modified_gmt":"2022-03-27T13:36:39","slug":"uyazvimost-v-zlib-proyavlyayushhayasya-pri-szhatii-speczialno-oformlennyh-dannyh","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/uyazvimost-v-zlib-proyavlyayushhayasya-pri-szhatii-speczialno-oformlennyh-dannyh","title":{"rendered":"Eine Schwachstelle in zlib, die beim Komprimieren speziell formatierter Daten auftritt.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
In der zlib-Bibliothek wurde eine Sicherheitsanf\u00e4lligkeit (CVE-2018-25032) entdeckt, die zu einem Puffer\u00fcberlauf f\u00fchrt, wenn versucht wird, eine speziell vorbereitete Zeichenfolge in den Eingangsdaten zu komprimieren. In der aktuellen Form haben Forscher gezeigt, dass es m\u00f6glich ist, eine Prozessbeendigung auszul\u00f6sen. Ob das Problem schwerwiegendere Folgen haben k\u00f6nnte, ist noch nicht untersucht. <\/p>\n
Die Sicherheitsanf\u00e4lligkeit tritt seit der Version zlib 1.2.2.2 auf und betrifft unter anderem die aktuelle Version zlib 1.2.11. Bemerkenswert ist, dass bereits 2018 ein Patch zur Behebung der Schwachstelle angeboten wurde, jedoch die Entwickler nicht darauf reagierten und kein Korrektur-Release herausgaben (die zlib-Bibliothek wurde zuletzt 2017 aktualisiert). Der Fix ist bislang auch nicht in die von den Distributionen angebotenen Pakete integriert. Informationen \u00fcber die Ver\u00f6ffentlichung von Korrekturen durch die Distributionen k\u00f6nnen auf diesen Seiten verfolgt werden: Debian, RHEL, Fedora, SUSE, Ubuntu, Arch Linux, OpenBSD, FreeBSD, NetBSD. Die zlib-ng-Bibliothek ist von dem Problem nicht betroffen. <\/p>\n
Die Schwachstelle tritt auf, wenn ein gro\u00dfer Anteil von \u00dcbereinstimmungen im Eingabestrom gefunden wird, die mit einer Huffman-Codierung auf Basis fester Codes komprimiert werden. Unter bestimmten Umst\u00e4nden kann der Inhalt des tempor\u00e4ren Puffers, in den das komprimierte Ergebnis gelegt wird, mit dem Speicher \u00fcberlappen, in dem die H\u00e4ufigkeitstabelle der Symbole gespeichert ist. Dies f\u00fchrt zu fehlerhaften komprimierten Daten und einem Absturz aufgrund eines Pufferoverflows. <\/p>\n
Die Schwachstelle kann nur dann ausgenutzt werden, wenn eine Kompressionsstrategie auf der Basis fester Huffman-Codes verwendet wird. Eine solche Strategie wird gew\u00e4hlt, wenn die Option Z_FIXED im Code ausdr\u00fccklich aktiviert ist (Beispiel einer Sequenz, die zu einem Absturz f\u00fchrt, wenn die Option Z_FIXED verwendet wird). Laut dem Code kann die Strategie Z_FIXED auch automatisch gew\u00e4hlt werden, wenn die f\u00fcr die Daten berechneten optimalen und statischen B\u00e4ume die gleiche Gr\u00f6\u00dfe haben. <\/p>\n
Es ist noch unklar, ob die Bedingungen f\u00fcr die Ausnutzung der Schwachstelle bei Verwendung der standardm\u00e4\u00dfig angewandten Komprimierungsstrategie Z_DEFAULT_STRATEGY formuliert werden k\u00f6nnen. Wenn nicht, wird die Schwachstelle auf spezifische Systeme beschr\u00e4nkt, in denen die Option Z_FIXED explizit verwendet wird. Wenn doch, k\u00f6nnte der Schaden durch die Schwachstelle erheblich sein, da die zlib-Bibliothek de facto der Standard ist und in vielen beliebten Projekten verwendet wird, darunter der Linux-Kernel, OpenSSH, OpenSSL, apache httpd, libpng, FFmpeg, rsync, dpkg, rpm, Git, PostgreSQL, MySQL usw. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"