The OpenNET Project / Index page

[ новости/++ | форум | wiki | теги | ]

30.12.2016 10:33  Обновление libpng 1.6.27 с устранением уязвимости

В очередной серии обновлений библиотеки libpng 1.6.27, 1.5.28, 1.4.20, 1.2.57 и 1.0.67 устранена уязвимость, которая может привести к разыменованию нулевого указателя (в современных системах приводит к краху приложения), при определённых манипуляциях с PNG-изображениями. Примечательно, что вызывающая уязвимость ошибка присутствует в коде libpng более 20 лет, с 26 июня 1995 года.

Проблема вызвана разыменованием нулевого указателя и проявляется при использовании в программах функции png_set_text_2(), позволяющей манипулировать содержащимися в метаданных текстовыми блоками. Подобная функция не используется в firefox, imagemagick, graphicsmagick, pngcrush и просмотрщиках изображений, и применяется только в некоторых графических редакторах. Более того, для эксплуатации уязвимости приложение должно загрузить блок текста в структуру PNG, затем удалить весь текст, после чего добавить другой блок текста в ту же самую структуру, что делает атаку маловероятной.

  1. Главная ссылка к новости (http://openwall.com/lists/oss-...)
  2. OpenNews: Приложения, использующие libpng, подвержены уязвимости
  3. OpenNews: В libpng устранена опасная уязвимость
  4. OpenNews: Релиз libpng 1.6.0 с поддержкой упрощённого API
  5. OpenNews: Уязвимость в библиотеке обработки шрифтов Libgraphite
  6. OpenNews: Серия уязвимостей в Libarchive
Лицензия: CC-BY
Тип: Проблемы безопасности
Ключевые слова: libpng
При перепечатке указание ссылки на opennet.ru обязательно
Обсуждение Ajax/Линейный | Раскрыть все сообщения | RSS
 
  • 1.1, Аноним (-), 10:54, 30/12/2016 [ответить] [показать ветку] [···]    [к модератору]
  • +8 +/
    Какой смысл пять версий либы поддерживать?
     
     
  • 2.4, turbo2001 (ok), 11:13, 30/12/2016 [^] [ответить]    [к модератору]
  • +4 +/
    Популярность старых версий и несовместимость API
     
     
  • 3.9, paulus (ok), 11:36, 30/12/2016 [^] [ответить]    [к модератору]
  • +2 +/
    > Популярность старых версий и несовместимость API

    спасибо за ликбез.

     
  • 2.51, Аноним (-), 22:45, 30/12/2016 [^] [ответить]    [к модератору]
  • +/
    Мне кажется что поддерживают две, а для остальных выпустили обновление по особому случаю.
     
  • 2.77, pavlinux (ok), 20:51, 04/01/2017 [^] [ответить]    [к модератору]
  • +/
    Купил iPhone 6, вышел iPhone 7, всех младше надо банить, нефиг на старье работать.  
     
     
  • 3.78, Аноним (-), 03:28, 06/01/2017 [^] [ответить]    [к модератору]  
  • +/
    Погодите пару лет и посмотрите как у Вас сначала аккуртненько не шлют обновления, а потом половина приложений не работает, а потом и во все откажет флеш память.
     
  • 1.2, Аноним (-), 11:10, 30/12/2016 [ответить] [показать ветку] [···]    [к модератору]  
  • –12 +/
    Вот тебе и безопасный си...
     
     
  • 2.5, Michael Shigorin (ok), 11:16, 30/12/2016 [^] [ответить]    [к модератору]  
  • +16 +/
    > Вот тебе и безопасный си...

    Опасная бритва -- это опасная бритва, если Вам её кто-то впаривал как безопасную -- с ним и разбирайтесь.

     
     
  • 3.7, Аноним (-), 11:18, 30/12/2016 [^] [ответить]     [к модератору]  
  • –9 +/
    Нужно просто, чтобы был человек, который идеально обращается с опасной бритвой ... весь текст скрыт [показать]
     
     
  • 4.10, Michael Shigorin (ok), 11:39, 30/12/2016 [^] [ответить]     [к модератору]  
  • +5 +/
    Это путь сперва специализации, а затем деградации -- ну, когда надо писать в рук... весь текст скрыт [показать]
     
     
  • 5.14, Аноним (-), 12:07, 30/12/2016 [^] [ответить]    [к модератору]  
  • –2 +/
    Специализация - это цивилизация. Отсутствие специализации было во времена жизни в пещерах.
     
     
  • 6.16, Куяврег (?), 12:57, 30/12/2016 [^] [ответить]     [к модератору]  
  • +4 +/
    нужно заметить что специализация и универсализация одновременно существуют ну к... весь текст скрыт [показать]
     
     
  • 7.19, Аноним (-), 13:10, 30/12/2016 [^] [ответить]     [к модератору]  
  • –3 +/
    Шигорин чутка позабыл о том, что весь UNIX построен на принципе специализации п... весь текст скрыт [показать]
     
     
  • 8.22, Andrey Mitrofanov (?), 13:17, 30/12/2016 [^] [ответить]    [к модератору]  
  • +/
    >весь UNIX

    Не весь.

     
     
  • 9.23, Аноним (-), 13:19, 30/12/2016 [^] [ответить]    [к модератору]  
  • –2 +/
    Согласен, 99.999% != 100%
     
     
  • 10.24, Andrey Mitrofanov (?), 13:46, 30/12/2016 [^] [ответить]    [к модератору]  
  • +2 +/
    > Согласен, 99.999% != 100%

    На каникулах возьми TAOUP и проштудируй на предмет помянутой выше универсализации. В след.раз, может, не будешь упёртым дураком выглядеть.

     
     
  • 11.25, Аноним (-), 14:08, 30/12/2016 [^] [ответить]    [к модератору]  
  • –1 +/
    так я и включил его в 0.001%. Или вы сложение еще не проходили?
     
  • 8.30, Michael Shigorin (ok), 14:59, 30/12/2016 [^] [ответить]    [к модератору]  
  • +7 +/
    > Шигорин чутка позабыл

    ...и тут же...

    > пусть каждая программа делает [B]только одну вещь[/B], но делает это хорошо.
    > То же самое можно сказать и о работе с памятью. Надежнее доверить это дело JVM.

    А я и не знал, что JVM -- это такой менеджер памяти, [B]и только[/B].  Или что JVM "это дело" делает хорошо.

    Ребятки, проверяйте свои доводы как следует -- меня на слове поймать можно, но для этого надо быть специалистом, а не демагогом.  Творческого времяпровождения в наступающем году :)

    PS: разумеется, про "попенсорс" вещал и изрядно, как предполагаю, нагадил в соседних темах кто-то с того же самого адреса.

     
     
  • 9.35, С того же адреса (?), 15:31, 30/12/2016 [^] [ответить]    [к модератору]  
  • –2 +/
    Рассматривай JVM как coreutils. Отдельные компоненты JVM (как и coreutils) вполне себе делают только одну вещь.
     
     
  • 10.36, Michael Shigorin (ok), 15:53, 30/12/2016 [^] [ответить]     [к модератору]  
  • +/
    А какой B именно B из них отвечает в JVM только за работу с памятью PS re 3... весь текст скрыт [показать]
     
     
  • 11.37, Аноним (-), 15:57, 30/12/2016 [^] [ответить]     [к модератору]  
  • –1 +/
    Тот, который отвечает только за работу с памятью А какой ты ожидал ответ Назв... весь текст скрыт [показать]
     
  • 7.48, Аноним (-), 22:08, 30/12/2016 [^] [ответить]    [к модератору]  
  • +/
    Да-да… ты это современным работодателям на территории exUSSR расскажи… а то ж они не знают, желая всё как один себе универсальных солдат за мизер денег.
     
     
  • 8.54, Crazy Alex (ok), 01:18, 31/12/2016 [^] [ответить]    [к модератору]  
  • +/
    Где exUSSR и где цивилизация. Те, кто с Западом плотно работают - до тех доходит обычно. Ну, или разоряются.
     
     
  • 9.55, Michael Shigorin (ok), 02:31, 31/12/2016 [^] [ответить]     [к модератору]  
  • +/
    вот те и знают, что там за цивилизация заикнулся, что денег впритык на жил... весь текст скрыт [показать]
     
     
  • 10.64, Crazy Alex (ok), 17:57, 31/12/2016 [^] [ответить]     [к модератору]  
  • +1 +/
    Что за богатая фантазия Но вообще - сюрприз - твой доход определяется твоей пол... весь текст скрыт [показать]
     
  • 10.69, Аноним (-), 01:26, 01/01/2017 [^] [ответить]     [к модератору]  
  • +1 +/
    Нет, конечно, намного правильнее когда некоторые очень нужные и полезные люди фо... весь текст скрыт [показать]
     
  • 6.67, Аноним (-), 23:40, 31/12/2016 [^] [ответить]     [к модератору]  
  • +/
    А Valve почему-то нрвятся T-shaped people Наверное специализация должна быть ка... весь текст скрыт [показать]
     
  • 6.68, iZEN (ok), 00:39, 01/01/2017 [^] [ответить]     [к модератору]  
  • –3 +/
    Любой человек должен уметь менять пелёнки, планировать вторжения, резать свиней,... весь текст скрыт [показать]
     
  • 5.26, Илья (??), 14:18, 30/12/2016 [^] [ответить]    [к модератору]  
  • –1 +/
    > Это путь сперва специализации, а затем деградации

    Ну не скажи. Бизнес-логику очень сложно мешать с низкоуровневыми вызовами. Да и не нужно.

     
     
  • 6.33, Michael Shigorin (ok), 15:28, 30/12/2016 [^] [ответить]     [к модератору]  
  • +/
    Сперва да, а затем у нас БУЗИНЕС, шо вы со своей безопасностью впёрлись до п... весь текст скрыт [показать]
     
     
  • 7.70, Аноним (-), 01:39, 01/01/2017 [^] [ответить]     [к модератору]  
  • +/
    Бывает и другой полюс, как в том рассказе про хакера и столовую Когда все ресур... весь текст скрыт [показать]
     
  • 5.29, Comdiv (ok), 14:58, 30/12/2016 [^] [ответить]     [к модератору]  
  • –1 +/
    Засуживают как раз не деграданты, а злоумышленники, находящие уязвимости в юриди... весь текст скрыт [показать]
     
  • 4.52, ы (?), 23:48, 30/12/2016 [^] [ответить]    [к модератору]  
  • +1 +/
    Ознакомься с основами явы, потом уже рот раскрывай.
     
  • 2.6, Отражение луны (ok), 11:17, 30/12/2016 [^] [ответить]    [к модератору]  
  • +6 +/
    Безопасный язык программирования? Что дальше? Глютенфри микроволновка?
     
  • 2.12, Аноним (-), 11:51, 30/12/2016 [^] [ответить]    [к модератору]  
  • +1 +/
    Вот тебе и безопасная Java...
    Вот тебе и безопасный C#...
    Вот тебе и безопасный Python...

    Бот, уйди.

     
     
  • 3.13, Michael Shigorin (ok), 12:00, 30/12/2016 [^] [ответить]     [к модератору]  
  • +3 +/
    Это вряд ли бот -- скорее человек, который купился на тыканье в проблемы вполне... весь текст скрыт [показать]
     
     
  • 4.32, Comdiv (ok), 15:02, 30/12/2016 [^] [ответить]     [к модератору]  
  • –2 +/
    Можете чуть конкретней рассказать про лукавую рекламу Где её видели, когда и ка... весь текст скрыт [показать]
     
     
  • 5.34, Michael Shigorin (ok), 15:29, 30/12/2016 [^] [ответить]     [к модератору]  
  • +1 +/
    Например, когда играют на предположениях и логичных выводах когда рассказываю... весь текст скрыт [показать]
     
  • 2.27, Аноним (-), 14:22, 30/12/2016 [^] [ответить]     [к модератору]  
  • –1 +/
    Пример небольшого ошибочного кода int x printf Введите первое число scan... весь текст скрыт [показать]
     
     
  • 3.28, Crazy Alex (ok), 14:52, 30/12/2016 [^] [ответить]    [к модератору]  
  • +1 +/
    Отсутствие обработки ошибок scanf (в частности, кривого ввода), интовое переполнение при сложении и UB при слишком большом введенном числе. Причём последнее не лечится.
     
     
  • 4.39, Аноним (-), 17:15, 30/12/2016 [^] [ответить]     [к модератору]  
  • +1 +/
    Слишком большое введённое число - это частный случай обработки ошибок ERANGE ... весь текст скрыт [показать]
     
     
  • 5.44, Crazy Alex (ok), 19:50, 30/12/2016 [^] [ответить]    [к модератору]  
  • +/
    Да. Что это я, в самом деле. Но тогда не представляю, какая там третья ошибка.
     
     
  • 6.46, Crazy Alex (ok), 20:11, 30/12/2016 [^] [ответить]     [к модератору]  
  • +/
    Решил таки проверить - а вот таки есть подвох, не зря мне мерещилось Вот это r... весь текст скрыт [показать]
     
     
  • 7.58, Аноним (-), 09:34, 31/12/2016 [^] [ответить]     [к модератору]  
  • +/
    Насчёт трёх ошибок Вы правильно определили Да, их всего там было 3 Пропущено д... весь текст скрыт [показать]
     
  • 7.60, Аноним (-), 09:44, 31/12/2016 [^] [ответить]     [к модератору]  
  • +/
    Кстати, устанавливать errno в данном случае в 0 было абсолютно бессмысленно, т к... весь текст скрыт [показать]
     
     
  • 8.65, Crazy Alex (ok), 18:08, 31/12/2016 [^] [ответить]     [к модератору]  
  • +/
    include stdio h include errno h int main void -- int x, r, err -- pr... весь текст скрыт [показать]
     
     
  • 9.66, Аноним (-), 19:08, 31/12/2016 [^] [ответить]     [к модератору]  
  • +/
    Да, действительно, прошу прощения, не прочёл документацию до конца, этой функцие... весь текст скрыт [показать]
     
  • 3.31, Crazy Alex (ok), 14:59, 30/12/2016 [^] [ответить]    [к модератору]  
  • +/
    Но вообще все давно в курсе, что scanf - не идеал ни разу, и обычно лучше применять отдельное строки и strtoX()
     
     
  • 4.40, Аноним (-), 17:29, 30/12/2016 [^] [ответить]     [к модератору]  
  • +/
    Не идеал, если требуется распарсить строку согласно форматированию, либо если вв... весь текст скрыт [показать]
     
     
  • 5.45, Crazy Alex (ok), 20:01, 30/12/2016 [^] [ответить]     [к модератору]  
  • +/
    Разумеется - читаем в буфер, токенизируем а то и полноценный разбор , потому пр... весь текст скрыт [показать]
     
     
  • 6.59, Аноним (-), 09:41, 31/12/2016 [^] [ответить]     [к модератору]  
  • +2 +/
    Вот в этом то и вся суть Об этой особенности мало кто знает Подобные ситуации ... весь текст скрыт [показать]
     
     
  • 7.61, Michael Shigorin (ok), 14:40, 31/12/2016 [^] [ответить]     [к модератору]  
  • –1 +/
    Может, попробовать в рамках http rosettacode org Примеры там уже есть, оста... весь текст скрыт [показать]
     
     
  • 8.62, Аноним (-), 15:34, 31/12/2016 [^] [ответить]     [к модератору]  
  • +/
    Я лишь подаю идеи, моего энтузиазма и свободного времени хватает пока только на ... весь текст скрыт [показать]
     
  • 8.63, Аноним (-), 17:41, 31/12/2016 [^] [ответить]     [к модератору]  
  • +/
    Интересные советы там даются по написанию кода под Эльбрус Из них можно сделать... весь текст скрыт [показать]
     
  • 2.43, Аноним (-), 19:13, 30/12/2016 [^] [ответить]     [к модератору]  
  • –2 +/
    Ну, понимаешь, либы на бидоне спросом не пользуются Хотя-бы потому что кроме ... весь текст скрыт [показать]
     
     
  • 3.47, Аноним (-), 21:05, 30/12/2016 [^] [ответить]     [к модератору]  
  • +4 +/
    Казалось бы, причем тут бидоны, но кто о чем, а подгорающий о своем, о неоси... весь текст скрыт [показать]
     
     
  • 4.53, Crazy Alex (ok), 00:54, 31/12/2016 [^] [ответить]    [к модератору]  
  • –1 +/
    Предлагаешь на любой чих таскать за собой питон и бороться с его версиями?
     
  • 4.71, Аноним (-), 01:43, 01/01/2017 [^] [ответить]     [к модератору]  
  • –2 +/
    Судя по вашему коменту - вам виднее И все бы это замечательно, но это - не сишн... весь текст скрыт [показать]
     
     
  • 5.73, Аноним (-), 04:47, 01/01/2017 [^] [ответить]     [к модератору]  
  • +4 +/
    То либа на бидоне кроме как из бидона ниоткуда не вызывается, то это вдруг уже н... весь текст скрыт [показать]
     
     
  • 6.74, Аноним (-), 14:38, 01/01/2017 [^] [ответить]     [к модератору]  
  • –1 +/
    Я не знаю как еще понятнее тебе объяснить что сишники такой либой пользоваться... весь текст скрыт [показать]
     
     
  • 7.75, Аноним (-), 16:25, 01/01/2017 [^] [ответить]     [к модератору]  
  • +1 +/
    Видишь ли, о великий знаток всего и вся, не будут и не смогут - две большие ... весь текст скрыт [показать]
     
  • 1.8, Аноним (-), 11:34, 30/12/2016 [ответить] [показать ветку] [···]    [к модератору]  
  • +2 +/
    какая то странная "уязвимость", больше похоже на "баг"
     
  • 1.11, Ящ (ok), 11:41, 30/12/2016 [ответить] [показать ветку] [···]    [к модератору]  
  • +/
    Круто. Как нашли баг?
     
     
  • 2.17, Куяврег (?), 12:59, 30/12/2016 [^] [ответить]    [к модератору]  
  • +4 +/
    > Миллионы пар попенсорц-глаз 20 лет искали уязвимость.

    нужно было прятать код - это точно решает все проблемы

     
  • 2.20, Аноним (-), 13:11, 30/12/2016 [^] [ответить]    [к модератору]  
  • +/
    21

    > The current public release, libpng 1.6.27, fixes a 21-year-old null- pointer dereference (see warning below) and includes some minor build tweaks.

     
  • 2.21, anonimous (?), 13:14, 30/12/2016 [^] [ответить]    [к модератору]  
  • +7 +/
    А libpng, кстати, и этой вашей проприетарной pvs-studio проверяли, и как-то упустили сию уязвимость.
     
  • 1.18, Аноним (-), 13:08, 30/12/2016 [ответить] [показать ветку] [···]    [к модератору]  
  • +/
    Когда ждать deb'ы для Trusty 14.04 LTS? (поддержка же вроде бы до 2019 года должна быть)
    https://launchpad.net/libpng/+packages
     
  • 1.38, iZEN (ok), 17:10, 30/12/2016 [ответить] [показать ветку] [···]    [к модератору]  
  • –2 +/
    На FreeBSD вчера обновили - http://www.freshports.org/graphics/png/
     
     
  • 2.49, Я. Р. Ош (?), 22:42, 30/12/2016 [^] [ответить]    [к модератору]  
  • +/
    И че? В генту тоже вчера.
     
     
  • 3.50, iZEN (ok), 22:45, 30/12/2016 [^] [ответить]    [к модератору]  
  • –2 +/
    > И че? В генту тоже вчера.

    А где посмотреть список последних обновлений?


     
  • 1.56, Черный Властелин (?), 03:40, 31/12/2016 [ответить] [показать ветку] [···]    [к модератору]  
  • +/
    Не поверишь, eix-diff
     

     Добавить комментарий
    Имя:
    E-Mail:
    Заголовок:
    Текст:


      Закладки на сайте
      Проследить за страницей
    Created 1996-2018 by Maxim Chirkov  
    ДобавитьПоддержатьВебмастеруГИД  
    Hosting by Ihor