CVSS Meta Temp Score	Aktueller Exploitpreis (≈)	CTI Interest Score
4.8	$0-$5k	0.00

libpng ist unter Unix und seinen Derivaten die Bibliothek für das darstellen des alternativen Grafikformats PNG. Der Linux-Distributor Debian meldet in ihrem DSA-570-1 eine Pufferüberlauf-Schwachstelle in libpng bis 1.0.17. Durch den Fehler in der Funktion png_handle_tRNS() kann ein Angreifer durch ein korruptes PNG-Bild die Library zum Abstürzen bringen oder gar beliebigen Programmcode ausführen lassen. Genaue technische Details oder ein Exploit zur Schwachstelle sind nicht bekannt. Die Sicherheitslücken wurden in libpng 1.0.17 behoben. Debian hat das Problem in 1.0.12-3.woody.9 sowie 1.0.15-8 für sid behoben. Andere Linux-Distributoren haben ebenfalls mit aktualisierten Paketen nachgezogen. Als Workaround wird empfohlen, auf das Nutzen bzw. Interpretieren von PNG-Dateien - vor allem aus unbekannter bzw. zwielichtiger Herkunft - zu verzichten. PNG-Bilder können zum Beispiel schon am Perimeter mittels Firewalling unterbunden werden. Unter vuldb.com werden zusätzliche Informationen bereitgestellt. Die Schwachstellen 939 sind ähnlich.

Angriffe auf Grafikformate (und auch Soundformate) sind momentan stark im kommen. Sie beweisen zunehmends, dass selbst die Interpretation von scheinbar harmlosen Daten-Dateien zur Kompromittierung eines Systems führen können. So wie es scheint, haben die Entwickler in dieser Richtung zu wenig bewusst auf die Sicherheit geachtet, was ich jetzt nach und nach rächt. Den Stein wirklich ins Rollen gebracht hat schlussendlich die JPEG GDI+ Pufferüberlauf-Schwachstelle in Microsoft Windows. Die Angreifer-Gemeinde hat dadurch Blut geleckt und wird nun in Zukunft das Augenmerk stark auf derlei Angriffsflächen richten.

Produktinfo

Typ

• Image Processing Software

Name

• libpng

Version

• 1.0.0
• 1.0.1
• 1.0.2
• 1.0.3
• 1.0.4
• 1.0.5
• 1.0.6
• 1.0.7
• 1.0.8
• 1.0.9
• 1.0.10
• 1.0.11
• 1.0.12
• 1.0.13
• 1.0.14
• 1.0.15
• 1.0.16
• 1.0.17

Lizenz

• open-source

CPE 2.3info

• 🔍
• 🔍
• 🔍

CPE 2.2info

• 🔍
• 🔍
• 🔍

CVSSv4info

VulDB CVSS-B Score: 🔍
VulDB CVSS-BT Score: 🔍
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 5.0
VulDB Meta Temp Score: 4.8

VulDB Base Score: 5.0
VulDB Temp Score: 4.8
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

Vektor	Komplexität	Authentisierung	Vertraulichkeit	Integrität	Verfügbarkeit
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

Exploitinginfo

Klasse: Privilege Escalation
CWE: CWE-192 / CWE-189
CAPEC: 🔍
ATT&CK: 🔍

Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Status: Nicht definiert

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Day	freischalten	freischalten	freischalten	freischalten
Heute	freischalten	freischalten	freischalten	freischalten

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

0-Day Time: 🔍

Patch: libpng.org

Timelineinfo

13.10.2004 🔍
20.10.2004 +7 Tage 🔍
20.10.2004 +0 Tage 🔍
22.10.2004 +2 Tage 🔍
25.10.2004 +2 Tage 🔍
23.12.2004 +59 Tage 🔍
08.10.2018 +5037 Tage 🔍

Quelleninfo

Advisory: debian.org
Person: http://www.debian.org
Firma: Debian
Status: Nicht definiert

CVE: CVE-2004-0955 (🔍)
SecurityFocus: 11481 - LibPNG Graphics Library Image Height Integer Overflow Vulnerability
Secunia: 12902 - libpng Integer Overflow and Buffer Overflow Vulnerabilities, Highly Critical
OSVDB: 11027

Diverses: 🔍
Siehe auch: 🔍

Eintraginfo

Erstellt: 25.10.2004 12:24
Aktualisierung: 08.10.2018 15:43
Anpassungen: 25.10.2004 12:24 (60), 08.10.2018 15:43 (3)
Komplett: 🔍

Diskussion

Do you want to use VulDB in your project?

Use the official API to access entries easily!