Een recente kwetsbaarheid in DjVuLibre maakt het mogelijk voor aanvallers om via geprepareerde documenten kwaadaardige code uit te voeren op Linux-systemen. Een update is beschikbaar om het probleem te verhelpen.
Het GitHub Security Lab ontdekte een out-of-bounds write kwetsbaarheid in DjVuLibre, een GPL-implementatie van het DjVu-formaat dat veel gebruikt wordt voor ingescande documenten en ondersteund wordt door Linux-document viewers zoals Evince en Papers. Door een gemanipuleerd DjVu-bestand met een .pdf-extensie te openen, kan een aanvaller code op het systeem uitvoeren. De onderzoekers demonstreerden dit met een proof-of-concept exploit die via Google Chrome een YouTube-pagina opent, ondanks beveiligingen zoals het AppArmor-profiel dat het starten van willekeurige processen beperkt. Het probleem werd op 1 juli gerapporteerd en op 3 juli werd DjVuLibre 3.5.29 uitgegeven met een patch. Gebruikers wordt aangeraden de update te installeren om risico’s te vermijden.
