Graves agujeros de seguridad en Linux (Imlib y LHA)Severos agujeros en dos componentes de Linux, pueden permitir que un atacante llegue a tomar el control del sistema comprometiendo gravemente su seguridad, con solo engañar a un usuario para que visualice una imagen o abra un archivo.
Imlib, una librería usada por aplicaciones capaces de visualizar gráficos que utiliza Gnome (el entorno gráfico de escritorio para sistemas operativos de tipo Unix), contiene un error que permite la ejecución de código malicioso cuando un usuario visualiza una imagen especialmente modificada del tipo mapa de bits (bitmap).
La vulnerabilidad se debe a un error de límites en la decodificación de este formato de imágenes, que provoca un desbordamiento de búfer, de acuerdo a un alerta publicado por la empresa de seguridad Secunia. El problema afecta a las versiones Imlib 1.x e Imlib2 1.x.
Gentoo, Mandrake y otros vendedores de Linux, han comenzado a distribuir parches para este fallo. El mismo también está disponible en el sitio del proyecto Gnome.
El problema se relaciona con un fallo en la decodificación BMP, anunciado hace un mes en la herramienta Qt, utilizada por programadores para crear interfases gráficas de usuario con el sistema X Window en Unix y Linux.
Por otra parte, el vendedor de Linux, Red Hat, advirtió de tres agujeros de seguridad en LHA, la utilidad para comprimir y descomprimir archivos con formato LHArc. Los fallos afectan todas las versiones hasta la 1.14 inclusive.
Dos de ellos pueden permitir la ejecución de código malicioso si el usuario es engañado para extraer o probar un archivo comprimido especialmente modificado, o a través de la ejecución de una línea de comandos con determinadas características.
El tercer fallo en LHA, puede permitir a un atacante crear un directorio mediante comandos con meta caracteres del shell (interfase de comandos), que podría ser usado para la ejecución arbitraria de otros comandos.
Hay parches disponibles para Red Hat, Gentoo y otros.
Relacionados:
imlib/imlib2 BMP Image Decoding Buffer Overflow Vulnerability
http://secunia.com/advisories/12429/Bug 151034: buffer overflow in bmp handling
http://bugzilla.gnome.org/show_bug.cgi?id=151034Gentoo
http://www.gentoo.org/security/en/glsa/glsa-200409-12.xmlMandrakesoft Security Advisories
http://www.mandrakesoft.com/security/advisories?name=MDKSA-2004:089qt 3.3.2 BMP parser heap overflow error
http://scary.beasts.org/security/CESA-2004-004.txtLHA Multiple Vulnerabilities
http://secunia.com/advisories/12435/An updated lha package fixes security vulnerability
http://rhn.redhat.com/errata/RHSA-2004-323.htmlGentoo
http://www.gentoo.org/security/en/glsa/glsa-200409-13.xmlPublicado en:
http://www.vsantivirus.com/vul-linux-100904.htm
