Linux und seine Derivate Zwanzig Jahre alte Lücke in Lempel-Ziv-Kompression gefährdet Linux-Nutzer

Heise Security meldet eine Sicherheitslücke in einem Algorithmus, der schon sehr lange verwendet wird und an zahlreichen Stellen im Linux-Paket auftritt. Hier geht's zur Meldung.

det

Heise Security meldet eine Sicherheitslücke in einem Algorithmus, der schon sehr lange verwendet wird und an zahlreichen Stellen im Linux-Paket auftritt. Hier geht's zur Meldung.
det

Der Code- Abschnitt sieht so aus, als wenn ihn ein blutiger Anfänger geschrieben hätte. Und zwar mit dem gravierndsten Fehler, der gemacht werden kann.

Hallo det,

danke für den Hinweis.

Sicherheits Update ,schon erledigt -)

holzer

Hi Holzer,

So wie ich den Artikel verstanden habe ist nicht nur eine Datei betroffen, sondern mehrere. Unter Umständen muß sogar der Kernel aktualisiert werden. Hast Du das mal geprüft?

det

Hallo det,

ich verlasse mich in Kernelfragen auf das Debianteam, die beherrschen im Gegensatz zu mir das Thema oder anders ausgedrückt, ich bin zu doof dafür. Aber was wo läuft interessiert mich schon.

Fast zeitgleich mit dem 'libav' Update kam auch eines für den Kernel, die Beschreibung deutet durchaus auf einen Zusammenhang hin.
#DSA-2949 linux

Die anderen Linuxdistris (SuSe, Ubuntu...usw) werden sicher ähnlich reagiert haben.

Bei Debian aus den stabilen Repos (im Moment 'Wheezy') kommen ja nicht sehr viele Aktualisierungen, da vergisst man schon einmal das manuelle 'upgraden'.

Dein Beitrag war also gewissermaßen der Gong.

holzer

Die anderen Linuxdistris (SuSe, Ubuntu...usw) werden sicher ähnlich reagiert haben.

Ich lese das gerade, obwohl es schon einige Wochen alt ist. Ich benutze hauptsächlich OpenSuse und nur im Ausnahmefall Win7. Die Coder dieser Distri sind ständig bemüht ihre Software aktuell zu halten. Zugegeben, das ist bei einer LTS-Versionen etwas schwergängiger weil darin noch andere Probleme zu beachten sind.

2-3 Tage später, nachdem ich diese Horrormeldung in den Medien las bekam ich über mein automatisches Update im YasT einen Kernelpatch. In dessen Beschreibung stand, das damit der Fehler behoben sei. Unmittelbar darauf reagierten alle Coder von Software, die gleichfalls diese fehlerhaft Funktion benutzten. So zum Beispiel KDE, VLC und einige Codec-Anbieter.

Ich fand das überhaupt nicht dramatisch, denn irgendwelche Angriffe via Multimediadateien wurden in den einschlägigen Foren (bsw Linux-Club) noch nicht diskutiert. Das nun ausgerechnet ein Windowsverkäufer diese Horrormeldung hier im ST verbreitete, finde ich eher belustigend. Erst gestern wurde ein Windowspatch verteilt, der paar andere wieder rückgängig macht.