CFITSIO: Schreibzugriff ausserhalb des Speicherbereichs in ffgcls2() über manipulierte FITS-Datei
Zusammenfassung
CFITSIO bis einschliesslich 4.7.0 enthält einen Schreibzugriff ausserhalb des Speicherbereichs in ffgcls2() in getcols.c. Eine manipulierte FITS-Datei mit vom Angreifer kontrollierten Header-Werten kann beim Lesen einer Spalte mit Zeichenketten variabler Länge Speicher überschreiben. Gemäss CVE-Eintrag kann dies zur Ausführung beliebigen Codes führen. Der Angriff erfordert, dass ein Benutzer oder eine Anwendung die schädliche Datei verarbeitet; ein netzwerkexponierter Dienst wird nicht als Angriffspfad beschrieben.
Betroffen
- CFITSIO 0 bis 4.7.0 (gemäss CVE-Eintrag)
- Distributionen und Anwendungen, die CFITSIO einbinden, einschliesslich einiger GDAL-Builds (Status variiert)
Behoben in
Unbekannt. Der Upstream-Pull-Request #184 wurde am 14.09.2026 zusammengeführt, es ist jedoch kein Release mit dem Fix bestätigt. Bis zu einem Release aus dem develop-Branch nach dem Fix-Commit bauen oder auf ein Update der Distribution warten.
Umgehung
- Kein vom Hersteller bestätigter Workaround gefunden.
- FITS-Dateien aus unvertrauenswürdigen Quellen nicht öffnen oder verarbeiten.
- Dienste, die FITS-Uploads akzeptieren, einschränken.
Ausnutzung
- CISA SSVC: Ausnutzung keine, nicht automatisierbar.
- Nicht als bereits ausgenutzt gelistet.
- Ein öffentlicher Verweis auf Exploit-Code könnte existieren, ist aber nicht verifiziert.
- EPSS ist niedrig (0.00133).
Unsere Empfehlung
- Installierte libcfitsio-Pakete und CFITSIO-abhängige Software, einschliesslich GDAL, inventarisieren.
- Verarbeitung von FITS-Dateien aus unvertrauenswürdigen Quellen einschränken oder vermeiden.
- Upload-Dienste, die FITS-Dateien verarbeiten, einschränken.
- Herstellerupdates installieren, sobald ein Release mit dem Fix verfügbar ist, und die fixe Version vorab bestätigen.
- Das HEASARC-Repository und den Security-Tracker der Distribution überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE record (VulnCheck advisory) www.vulncheck.com
- HEASARC CFITSIO repository github.com
- Upstream pull request #184 github.com
- Upstream commit 579792e github.com
- Ubuntu security notice ubuntu.com
- VulDB entry vuldb.com
- Vulners OSV entry vulners.com
- HEASARC CFITSIO documentation heasarc.gsfc.nasa.gov
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 10:15.
Referenzen der NVD (5)
- https://gist.github.com/yure1432/98f15c7e8f48dc90ae65646f926aa176
- https://github.com/HEASARC/cfitsio
- https://github.com/HEASARC/cfitsio/commit/579792e0f85bff0c6733ad5ebdf54c3b5c188686
- https://github.com/HEASARC/cfitsio/pull/184
- https://www.vulncheck.com/advisories/cfitsio-through-4.7.0-out-of-bounds-write-via-ffgcls2-in-getcols-c
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.