Ifølge sikkerhetsselskapet Secunia, er det blitt funnet et sikkerhetshull i zlib, et programvarebibliotek som benyttes av en lang rekke forskjellige systemer og programvare.
Sårbarheten ble oppdaget av Gentoo Linux Security Audit Team tidligere denne måneden, og skyldes en overflytsfeil i en buffer i "inftrees.c" under håndteringen av komprimerte datastrømmer.
Ifølge Gentoo kan en angriper konstruere en datastrøm og ta den med i nettverkskommunikasjon eller en datafil. Dette kan unyttes til å krasje programvaren som benytter leser datastrømmen hvis programvaren er basert på zlib-biblioteket. Potensielt åpner sårbarheten også for kjøring av vilkårlig kode med samme rettigheter som den sårbare programvaren.
Til News.com sier Tavis Ormandy i Gentoo Linux Security Audit Team at omtrent alt mulig benytter zlib.
- Alt fra Xbox spillmaskiner og mobiltelefoner til OpenSHH, så den potensielle betydningen er svært høy, sier Ormandy. Han sier videre at det ikke vil være lett å få kjørt vilkårlig kode ved hjelp av sårbarheten, men at Gentoo har greid å framprovosere krasj av programvare blant annet ved hjelp av bildefiler.
Les også:
- [15.03.2002] Microsoft kan være sårbar overfor lus i zlib
Sårbarheten er blitt funnet i versjon 1.2.2 av zlib, men også tidligere utgaver kan være påvirket. En rekke Linux-distributører, har allerede gitt ut oppdateringer til biblioteket. Det skal også ha blitt utgitt en oppdatering til biblioteket for FreeBSD.
Også Microsoft benytter zlib, men talsperson for selskapet sier til News.com at foreløpige undersøkelser viser at utgavene av Windows som selskapet støtter i dag, ikke er påvirket av denne sårbarheten. Selskapet har i hvert fall tidligere benyttet zlib i produkter som Office, MSN Messenger og Internet Explorer.
zlib har vært utsatt for sårbarheter også flere ganger tidligere, senest i fjor høst.
