Thema: ACDSee führt Schadcode in Bildern aus

[SiLæncer]

Anwender der Foto-Management-Software ACDSee sollten ein vom Hersteller veröffentlichtes Update installieren, um sich vor möglichen Angriffen mittels PSP-Bildern und LHA-Archiven zu schützen. Laut Secunia stecken im Plug-in zur Verarbeitung von Paint-Shop-Pro-Daten zwei Fehler, die zu Heap Overflows bei der Verarbeitung präparierter Bilder führen. Ein Angreifer kann damit Schadcode in ein System schleusen und starten. Ein derartiges Bild kann etwa als Anhang einer Mail auf den Rechner gelangen oder von einer Webseite stammen.

Zudem tritt ein Heap Overflow beim Öffnen von LHA-Archiven auf, allerdings ist dieses Plug-in laut Fehlerbericht standardmäßig nicht geladen. Betroffen sind ACDSee Photo Manager Version 9.0 Build 108, ACDSee Pro Photo Manager Version 8.1 Build 99 und ACDSee Photo Editor Version 4.0 Build 195.

Siehe dazu auch:

    * ACDSee Products Image and Archive Plug-ins Buffer Overflows, Fehlerbericht von Secunia
    * Are there any known security issues using ACD software?, Fehlerbericht von ACDSee

Quelle und Links : http://www.heise.de/security/news/meldung/98367/ACDSee-fuehrt-Schadcode-in-Bildern-aus

[SiLæncer]

Der französische Sicherheitsdienstleister VUPEN (ehemals FrSIRT) berichtet von Sicherheitslücken in mehreren Bilderbetrachtern und -managern des Herstellers ACD Systems. Präparierte TIFF-Bilder und Zeichensätze können laut Bericht Buffer Overflows provozieren, über die Angreifer Code in ein System schleusen und starten können. Dazu muss das Opfer eine präparierte Datei öffnen. Für beide Lücken stellt VUPEN seinen Kunden bereits Exploits für Tests zur Verfügung.

Betroffen sind ACDSee Photo Manager 2009, ACDSee Photo Manager 2008, ACDSee Pro Photo Manager 2.5 und vorhergehende sowie ACDSee 11.x, ACDSee 10.x, ACDSee 9.x. Einen Patch oder ein Update gibt es derzeit nicht. Zwar ist der Hersteller von VUPEN über die Probleme informiert, bislang soll er aber auf mehrfache Kontaktversuche nicht reagiert haben. Anwender sollten alternative Bildbetrachter einsetzen.

Quelle : www.heise.de