DevIL: Heap-basierter Pufferüberlauf in der GIF-Palettenverarbeitung

Zusammenfassung

DevIL bis einschliesslich Version 1.8.0 enthält einen heap-basierten Pufferüberlauf in der GIF-Lade-Funktion iGetPalette(). Ein manipuliertes GIF mit zwei Frames und einer lokalen Farbtabelle im zweiten Frame kann bis zu 384 Bytes über einen 768 Byte grossen Heap-Puffer hinaus schreiben. Ein erfolgreicher Angriff kann zu einem Absturz oder möglicherweise zur Ausführung von beliebigem Code im Kontext der Anwendung führen, die das Bild lädt.

Betroffen

• DentonW DevIL, Versionen 0 bis einschliesslich 1.8.0
• Auf 1.8.0 basierende Distributionspakete gelten als betroffen, sind aber nicht verifiziert

Behoben in

Unbekannt. Es ist weder ein gepatchter Upstream-Release noch eine Herstellerwarnung bekannt.

Umgehung

• DevIL dort entfernen, wo keine installierte Anwendung es benötigt
• Keine nicht vertrauenswürdigen GIF-Dateien mit DevIL-basierten Komponenten verarbeiten
• Bildverarbeitung isolieren (Sandbox, Container oder Dienst mit minimalen Rechten) und Eingaben auf validierte Formate beschränken

Ausnutzung

• Keine Berichte über Ausnutzung in freier Wildbahn und kein Eintrag im CISA KEV
• VulDB beschreibt die Ausnutzung als einfach (eigene Einschätzung, keine bestätigte Ausnutzung)
• EPSS-Wert 0.00199 (niedrig)
• Der Angriff erfordert einen lokalen Kontext und dass ein Benutzer oder System ein manipuliertes GIF verarbeitet (UI:P)

Unsere Empfehlung

• Linux-Server und Arbeitsstationen auf DevIL prüfen (Pakete libIL oder devil) und Anwendungen identifizieren, die es einbinden
• Jeden über das Internet erreichbaren Dienst, der hochgeladene Bilder mit DevIL verarbeitet, als hohe Priorität behandeln
• Die oben genannten Isolations- und Eingabebeschränkungen anwenden, bis eine korrigierte Version verfügbar ist
• DevIL in selbst kontrollierten Anwendungen durch einen gepflegten Decoder ersetzen
• Das Upstream-Projekt und den Sicherheits-Tracker der Distribution auf eine Korrektur überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE-2017-20286 in OSV (Ubuntu) osv.dev
• Ubuntu CVE-2017-20286 ubuntu.com
• VulDB 419914 vuldb.com
• VulncheckAdvisory www.vulncheck.com
• DevIL issue 67 github.com
• DevIL project on GitHub github.com
• DevIL releases github.com
• Red Hat CVE-2017-20286 (Vulners) vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 10:37.