Sicherheitslücken in zLib Implementationen

[Assertor]

Hallo Liebe DPler,

es ist mal wieder Zeit für einen Hinweis.

Viele unserer Komponenten, ob kostenfrei oder kommerziell, nutzen zLib Pascal-Implementationen. Mit oder ohne DLLs und mit oder ohne Objektcode.

Bei BDS 2006 ist z.B. unter RLT/Common die zLib.pas und zLibConst.pas dabei, laut Source in einer Version 1.0.4.

Nun gibt es hier, wie bei vielen anderen Sourcen, alte und neue Sicherheitslücken. Diese können auch Eure Delphi Programme betreffen. z.B. kommerzielle Datenbank-Komponenten, die man einsetzt. Mir liegt hier eine solche kommerzielle Datenbank-Komponente vor.

Hier die Liste, die zLib Version in einem kompilierten Programm anhand eines Patterns zu erkennen:
Security Bulletin zLib

zLib wird z.B. in Delphi-Komponenten verwendet bei:

• den Indys
• PNG Image bzw. PNG Delphi Components
• Datenbank-Komponenten
• ZIP-Packern wie z.B. KAZip

Bei den aktuellen Indys und der letzten Versionen von PNG Image ist zLib auf der aktuellen Version 1.2.3. Bei Codegear Delphi selbst, wie oben gesagt, ist die Version sehr alt und vermutlich schon verboten durchlässig. Bei KAZip liegt es ebenfalls irgendwo bei 1.1.3.

Die bekannten Lücken sind z.B. auf der zLib Seite zu finden und beim US-Cert:
http://www.kb.cert.org/vuls/id/238678
http://www.kb.cert.org/vuls/id/680620

Also, ruhig mal Eure Komponenten Sources nach dem Text "zlib" durchsuchen und gelegentlich mal aktualisieren.

Gruß winkel79