Mehrere libpng-Schwachstellen ermöglichen DoS und Datenexfiltration

Hintergrund der Sicherheitsberatung

Die aktuelle Sicherheitsberatung des CERT-Bund weist darauf hin, dass mehrere Schwachstellen in der Bildverarbeitungsbibliothek libpng existieren. Ein lokaler Angreifer kann diese Schwachstellen ausnutzen, um entweder einen Denial-of-Service-Angriff zu starten oder vertrauliche Informationen preiszugeben. Die Beratung wurde am 4. Februar 2026 veröffentlicht und richtet sich an Betreiber von Systemen, die libpng einsetzen.

Technische Details der Schwachstellen

Die betroffenen Funktionen betreffen die Verarbeitung von PNG-Bilddaten, insbesondere die Handhabung von Chunk-Daten und Speicherzuweisungen. Durch speziell präparierte Bilddateien können fehlerhafte Speicherzugriffe ausgelöst werden, die entweder zum Absturz der Anwendung führen oder unautorisierten Zugriff auf den Speicher ermöglichen. Die Schwachstellen betreffen mehrere Versionen von libpng, die seit Jahren in unterschiedlichen Betriebssystemen und Anwendungen integriert sind.

Potenzielle Auswirkungen

Ein erfolgreicher Angriff kann zu einem vollständigen Ausfall des betroffenen Dienstes führen (Denial of Service). Zusätzlich besteht das Risiko, dass sensible Daten, die im Speicher der Anwendung liegen, ausgelesen werden können (Information Disclosure). Beide Szenarien können insbesondere in sicherheitskritischen Umgebungen zu erheblichen Störungen führen.

Angriffsszenario

Der Angreifer muss lediglich die Möglichkeit haben, manipulierte PNG-Dateien an die Zielanwendung zu übermitteln. Dies kann über Web‑Uploads, E‑Mail‑Anhänge oder andere Eingabekanäle geschehen. Sobald die Anwendung die manipulierte Datei verarbeitet, wird die Schwachstelle ausgelöst. Der Angriff erfordert keinen Netzwerkzugriff von außen, sondern nutzt lokale Verarbeitung aus.

Empfohlene Gegenmaßnahmen

Der CERT-Bund empfiehlt, unverzüglich auf die aktuelle Version von libpng zu aktualisieren, in der die Schwachstellen behoben sind. Betreiber sollten prüfen, ob ihre Softwarepakete bereits gepatcht wurden, und gegebenenfalls die entsprechenden Sicherheitsupdates installieren. Zusätzlich wird geraten, Eingaben zu validieren und das Laden von Bilddateien aus nicht vertrauenswürdigen Quellen zu beschränken.

Hinweise für Systemadministratoren

Administratoren sollten ihre Systeme auf betroffene libpng‑Versionen überprüfen und die Sicherheitsberatung des CERT‑Bundes dokumentieren. In Umgebungen, in denen ein Update nicht sofort möglich ist, können temporäre Schutzmaßnahmen wie das Deaktivieren der betroffenen Funktionen oder das Einsetzen von Anwendungssandboxen das Risiko mindern.

Ausblick

Der CERT‑Bund wird die Situation weiterhin beobachten und bei Bedarf weitere Informationen bereitstellen. Nutzer werden aufgefordert, Sicherheitsupdates regelmäßig zu prüfen und ein proaktives Patch‑Management zu betreiben, um zukünftige Schwachstellen frühzeitig zu adressieren.Dieser Bericht basiert auf Informationen von CERT-Bund, lizenziert unter Amtliches Werk gem. § 5 UrhG (Deutschland).