Para peneliti telah mengungkapkan kerentanan parah 0-day dalam file gambar JPEG 2000 format parser implemented di OpenJPEG library, yang dapat memungkinkan penyerang dari jarak jauh mengeksekusi arbitrary code pada sistem yang terinfeksi.
Ditemukan oleh kelompok peneliti keamanan Cisco Talos, celah 0-day, ditugaskan sebagai TALOS-2016-0193 / CVE-2016-8332, dapat memungkinkan out-of-bound heap write yang memicu terjadi tindakan eksekusi kode yang sewenang - wenang .
OpenJPEG merupakan open-source JPEG 2000 codec. Yang ditulis dalam bahasa C, software ini dikembangkan untuk coding dan encoding gambar JPEG2000, format yang sering digunakan untuk tugas-tugas seperti embedding file gambar dalam dokumen PDF melalui perangkat lunak populer termasuk PdFium, Poppler, dan MuPDF.
Hacker dapat mengeksploitasi kerentanan keamanan dengan menipu korban untuk membuka sebuah gambar khusus JPEG2000 berbahaya atau dokumen PDF yang berisi file berbahaya dalam email.
Hacker bahkan bisa meng-upload berkas gambarJPEG2000 berbahaya untuk layanan hosting file seperti Dropbox atau Google Drive, dan kemudian mengirim link ke korban.
Baca Juga !
Setelah di-download ke sistem, itu akan membuat jalan bagi hacker untuk dari jarak jauh mengeksekusi kode berbahaya pada sistem terinfeksi.
celah itu disebabkan "karena kesalahan saat parsing mcc records dalam file JPEG2000, ... mengakibatkan salah read dan write dalam memory," Baca disini
"Careful manipulation of heap layout and can lead to further heap metadata process memory corruption ultimately leading to code execution under attacker control."
Para peneliti berhasil menguji JPEG 2000 gambar mengeksploitasi pada OpenJPEG openjp2 versi 2.1.1. celah ditemukan oleh Aleksandar Nikolic dari tim Cisco Talos Security.
Tim melaporkan zero-day celah untuk pengembang OpenJPEG pada akhir Juli, dan perusahaan menambal celah pekan lalu dengan merilis versi 2.1.2.
kerentanan telah ditetapkan skor CVSS 7,5, mengkategorikan sebagai bug tinggi tingkat parah.
EmoticonEmoticon