libtiff: Ausführung beliebiger Kommandos möglich (Red Hat)

Tier B · Diese Woche patchen – Ab in den Sprint

Wer betroffen ist: Systeme mit libtiff; genaue Betroffenheit nicht angegeben

Tier B, weil: Volle Übernahme ODER Geheimnisse offengelegt ODER Lieferkette

Reichweite

Angriff

Schaden

Fix

Verbreitetes Werkzeug · Volle Übernahme

Was zu tun ist

Sicherheitsupdates für libtiff über die Paketverwaltung der eigenen Distribution einspielen, sobald verfügbar

Kurz gesagt

Red Hat warnt vor einer Schwachstelle in libtiff, die die Ausführung beliebiger Kommandos ermöglicht.
Weitere Details zu betroffenen Versionen, CVE-Nummer oder Angriffsvektor liegen in der vorliegenden Quelle nicht vor.

Warum es wichtig ist

Anwendungen und Systeme, die die Bibliothek libtiff zum Verarbeiten von TIFF-Dateien nutzen, könnten angreifbar sein. Entwickler sollten die Sicherheitshinweise ihrer Distribution prüfen.

Die Checkliste hinter dem Tier

Checkliste · 3 von 10 mit Ja

Ja	Trifft Tech-Teams	Einschätzung: libtiff ist eine Bibliothek, die Entwickler und Ops-Teams auf Linux-Systemen mit einbauen oder betreiben.
Nein	Kerninfrastruktur	Einschätzung: libtiff ist eine spezialisierte Bildbibliothek und keine Kerninfrastruktur wie OpenSSL oder glibc.
Ja	Verbreitetes Werkzeug	Einschätzung: libtiff ist als Bibliothek in vielen Linux-Distributionen und Anwendungen verbreitet.
Nein	Wird ausgenutzt	Pro-Linux Security: Meldung nennt nur die Lücke, keine beobachteten Angriffe.
Nein	Exploit öffentlich	Pro-Linux Security: Meldung enthält keine Angaben zu veröffentlichtem Exploit-Code.
Nein	Aus der Ferne, ohne Login	Pro-Linux Security: Meldung nennt keinen Angriffsweg über das Netz ohne Anmeldung.
Ja	Volle Übernahme	Pro-Linux Security: Titel nennt das Ausführen beliebiger Kommandos in libtiff.
Nein	Geheimnisse offengelegt	Pro-Linux Security: Meldung berichtet nicht von gestohlenen oder offengelegten Daten.
Nein	Lieferkette	Pro-Linux Security: Meldung beschreibt keine kompromittierten Pakete oder Update-Kanäle.
Nein	Noch kein Fix	Pro-Linux Security: Meldung nennt keine fehlende oder unvollständige Korrektur.

Quelle

Ausführen beliebiger Kommandos in libtiff (Red Hat) ↗ Pro-Linux Security · vor 53 Min.

Zuerst gesehen vor 53 Min. · 1 Quelle · Zur ganzen Meldung · Wie Tiers entschieden werden