{"id":537492,"date":"2025-10-30T09:47:11","date_gmt":"2025-10-30T09:47:11","guid":{"rendered":"https:\/\/www.europesays.com\/de\/537492\/"},"modified":"2025-10-30T09:47:11","modified_gmt":"2025-10-30T09:47:11","slug":"gimp-manipulierte-bilder-koennen-schadcode-einschmuggeln","status":"publish","type":"post","link":"https:\/\/www.europesays.com\/de\/537492\/","title":{"rendered":"GIMP: Manipulierte Bilder k\u00f6nnen Schadcode einschmuggeln"},"content":{"rendered":"

Das k\u00fcrzlich ver\u00f6ffentlichte Update auf GIMP 3.0.6 bringt nicht nur Verbesserung der Nutzbarkeit, sondern schlie\u00dft auch handfeste Sicherheitsl\u00fccken. Jetzt sind die Schwachstellenbeschreibungen verf\u00fcgbar: GIMP<\/a> kann bei der Verarbeitung einiger manipulierter Bildformate untergejubelten Schadcode ausf\u00fchren.<\/p>\n

Weiterlesen nach der Anzeige<\/p>\n

In der Release-Ank\u00fcndigung schreiben die GIMP-Entwickler<\/a> nur knapp, dass sie Berichte der Zero-Day-Initiative (ZDI) \u00fcber potenzielle Sicherheitsl\u00fccken in einigen der Datei-Import-Plug-ins erhalten haben. „W\u00e4hrend diese Probleme sehr unwahrscheinlich mit echten Dateien auftreten“, haben die Entwickler „proaktiv die Sicherheit“ f\u00fcr diese Import-Komponenten verbessert.<\/p>\n

GIMP: Mehrere Datei-Parser l\u00f6chrig<\/p>\n

In mehreren Import-Routinen f\u00fcr Bildformate hat die ZDI Sicherheitsl\u00fccken gemeldet. Und anders als die GIMP-Entwickler sehen die IT-Forscher ein hohes Risiko darin. <\/p>\n

Im Parser f\u00fcr XWD-Dateien k\u00f6nnen manipulierte Dateien demnach einen Heap-basierten Puffer\u00fcberlauf provozieren und dadurch Code einschleusen und ausf\u00fchren (CVE-2025-10934 \/ EUVD-2025-36722<\/a>, CVSS 7.8<\/strong>, Risiko „hoch<\/strong>„). Bei ILBM-Dateien kann ein Stack-basierter Puffer\u00fcberlauf mit denselben Folgen auftreten (CVE-2025-10925 \/ EUVD-2025-36713<\/a>, CVSS 7.8<\/strong>, Risiko „hoch<\/strong>„), FF-Dateien k\u00f6nnen einen Integer-\u00dcberlauf ausl\u00f6sen (CVE-2025-10924 \/ EUVD-2025-36714<\/a>, CVSS 7.8<\/strong>, Risiko „hoch<\/strong>„). <\/p>\n

Ein weiterer Integer-\u00dcberlauf befindet sich im WBMP-Parser (CVE-2025-10923 \/ EUVD-2025-36715<\/a>, CVSS 7.8<\/strong>, Risiko „hoch<\/strong>„), manipulierte DCM-Dateien k\u00f6nnen hingegen einen Heap-basierten Puffer \u00fcberlaufen lassen (CVE-2025-10922 \/ EUVD-2025-36716<\/a>, CVSS 7.8<\/strong>, Risiko „hoch<\/strong>„) \u2013 ebenso HDR-Dateien (CVE-2025-10921 \/ EUVD-2025-36717<\/a>, CVSS 7.8<\/strong>, Risiko „hoch<\/strong>„). Schlie\u00dflich k\u00f6nnen pr\u00e4parierte ICNS-Dateien zu Schreibzugriffen au\u00dferhalb der vorgesehenen Grenzen und in der Folge zur Ausf\u00fchrung eingeschmuggelten Codes f\u00fchren (CVE-2025-10920 \/ EUVD-2025-36718<\/a>, CVSS 7.8<\/strong>, Risiko „hoch<\/strong>„).<\/p>\n

Allen L\u00fccken ist gemein, dass zum Ausnutzen das \u00d6ffnen von manipulierten Dateien n\u00f6tig ist \u2013 es ist also Nutzerinteraktion erforderlich. Angreifer k\u00f6nnten mittels Social Engineering potenzielle Opfer dazu verleiten.<\/p>\n

Weiterlesen nach der Anzeige<\/p>\n

Die Sicherheitsl\u00fccken haben die IT-Forscher in GIMP 3.0.4 entdeckt, die Version 3.0.6 vom Anfang Oktober schlie\u00dft sie. GIMP-Nutzerinnen und -Nutzer sollten die verf\u00fcgbare Aktualisierung z\u00fcgig anwenden. Unter Linux sollte die Paketverwaltung der Distribution das Update liefern. Wer in Windows GIMP aus dem Microsoft-Store installiert hat, sollte eine automatische Aktualisierung erhalten haben. Winget liefert das Update ebenfalls aus, der Aufruf von „winget update gimp“ sollte es auf den lokalen Rechner bringen. Alternativ bietet das GIMP-Projekt auf der Download-Seite<\/a> Installationspakete f\u00fcr diverse Plattformen an. <\/p>\n

Im Juni haben die GIMP-Programmierer eine Schwachstelle im ICO-Parser gefixt. Auch sie erm\u00f6glichte das Unterjubeln von Schadcode.<\/p>\n

(dmk<\/a>)<\/p>\n

\n Dieser Link ist leider nicht mehr g\u00fcltig.\n <\/p>\n

Links zu verschenkten Artikeln werden ung\u00fcltig,
\n wenn diese \u00e4lter als 7\u00a0Tage sind oder zu oft aufgerufen wurden.\n <\/p>\n

Sie ben\u00f6tigen ein heise+ Paket, um diesen Artikel zu lesen. Jetzt eine Woche unverbindlich testen \u2013 ohne Verpflichtung!<\/strong><\/p>\n","protected":false},"excerpt":{"rendered":"Das k\u00fcrzlich ver\u00f6ffentlichte Update auf GIMP 3.0.6 bringt nicht nur Verbesserung der Nutzbarkeit, sondern schlie\u00dft auch handfeste Sicherheitsl\u00fccken.…\n","protected":false},"author":2,"featured_media":537493,"comment_status":"","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[135],"tags":[10308,29,30,131692,196,116815,190,189,1687,4970,194,191,1314,193,192],"class_list":{"0":"post-537492","1":"post","2":"type-post","3":"status-publish","4":"format-standard","5":"has-post-thumbnail","7":"category-wissenschaft-technik","8":"tag-alert","9":"tag-deutschland","10":"tag-germany","11":"tag-gimp","12":"tag-it","13":"tag-rce","14":"tag-science","15":"tag-science-technology","16":"tag-security","17":"tag-sicherheitsluecken","18":"tag-technik","19":"tag-technology","20":"tag-updates","21":"tag-wissenschaft","22":"tag-wissenschaft-technik"},"share_on_mastodon":{"url":"https:\/\/pubeurope.com\/@de\/115462487713900144","error":""},"_links":{"self":[{"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/posts\/537492","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/comments?post=537492"}],"version-history":[{"count":0,"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/posts\/537492\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/media\/537493"}],"wp:attachment":[{"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/media?parent=537492"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/categories?post=537492"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/tags?post=537492"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}