TeX Virus

vorhergehende Artikel in: Markup Security
03.02.2021

Vor etwas über einem Jahr haben wir für einen Kunden eine Analyse seiner historisch gewachsenen Webseite durchgeführt. Dazu untersuchten wir diverse Aspekte - unter anderem Sicherheit und Performance. Dabei stießen wir auf eine interessante Code-Injection-Lücke.

SQL-Injection ist eine Sau, die so oft durchs Dorf getrieben wurde, dass relativ viele Menschen - auch solche, die nicht beruflich mit IT-Sicherheit zu tun haben - dieses Stichwort bereits einmal gehört haben. Leider ist es so, dass nicht unmittelbar Betroffene dabei stehenbleiben.

Es ist aber so, dass man den Begriff allgemeiner fassen sollte: Code-Injection trifft es meiner Ansicht nach besser: Jede Programmiersprache ist anfällig für den SQL-Injection zugrunde liegenden Mechanismus: Fehlen Gegenmaßnahmen, so wird Code, der in irgendwelche Formularfelder in Webformularen eingegeben wird, im Kontext der Anwendung ausgeführt. In schlimmen Fällen kann der Code dann sogar aus diesem Kontext ausbrechen.

Die besagte Webseite unseres Kunden nutzte TeX, um eingegebene Daten in Bilder umzuwandeln (zum Beispiel Formeln). Ausgehend von Darstellungsfehlern in den Resultaten bei bestimmten Eingaben analysierten wir das System und fanden heraus, dass diese Eingaben ohne jedes Sanitizing in die Datenbank übernommen wurde.

Als wir diese Tatsache aufgedeckt hatten, fragten wir uns, ob damit Code-Injection möglich wäre und wenn ja - wie gefährlich das werden könnte. Meine Kollegin - das muss ich zugeben - war bereits zu diesem Zeitpunkt überzeugt, denn schließlich ist TeX als Programmiersprache Turing-complete.

Ich recherchierte noch ein wenig - vielleicht war ja vor uns bereits jemand auf die Idee gekommen und hatte seine Ergebnisse publiziert?

Ergebnis dieser Recherche war der hier angegebene Link auf ein PDF, in dem ein TeX-Virus beschrieben wird. Damit war auch für mich klar: Code-Injection via TeX funktioniert und ist eine reale Bedrohung - vielleicht nicht in der Größenordnung wie bei SQL-Injection (Webseiten mit Datenbanken sind einfach sehr viel häufiger anzutreffen als solche, die TeX benutzen), aber mindestens genau so gefährlich.

TeX-Virus

Aktualisierung vom 3. Februar 2021

Es gibt Neuigkeiten zu diesem Thema: einige Wissenschaftler untersuchten Online-Portale zur Arbeit mit (La)TeX-Dateien darauf ob diese bösartigen Quelltext akzeptieren und ob und wie sich diese Portale gegen solche Attacken schützen.

Artikel, die hierher verlinken

XML und ungültige Zeichen

17.09.2017

Ich mag Markup - egal in welcher Form (ich habe hin und wieder darüber berichtet). XML - wie der Name schon sagt - gehört auch dazu und zu meinem Erstaunen habe ich neulich wieder mal etwas Neues darüber gelernt...

Alle Artikel rss Wochenübersicht Monatsübersicht Codeberg Repositories Mastodon Über mich home xmpp


Vor 5 Jahren hier im Blog

  • Ticketsysteme sind lebende Wesen

    29.03.2020

    Hier zunächst wieder eine Triggerwarnung: Dieser Artikel wird meine Meinung abbilden. es kann sein, dass sie dem einen oder anderen nicht gefällt - das ist mir aber egal. Und wenn hier irgendwelche Schneeflocken mitlesen, dann sind die selber schuld.

    Weiterlesen...

Neueste Artikel

  • Weitere Experimente mit dem Clifford-Attractor

    Ich berichtete hier bereits über Experimente mit dem Clifford-Attractor, allerdings war ich noch Experimente unter geringfügig geänderten Parametern schuldig...

    Weiterlesen
  • Neues Feature in meinem Static Site Generator: externe URLs

    Es wurde wieder einmal Zeit für ein neues Feature in meinem Static Site Generator mittels dessen ich ja auch meine Heimatseite im Zwischennetz gestalte und verwalte...

    Weiterlesen
  • Eine Bestandsaufnahme

    Es kamen mehrere Faktoren zusammen: die Tatsache, dass ich nicht mehr ganz so kürzlich die 50 überschritten habe hatte ebenso darauf Einfluss wie das heutige trübe Wetter und auch der Fakt, dass ich bereits beinahe alle Wochenendpflichten erledigt habe. Der letzte Stein des Anstoßes war dann aber, dass sich heute zum 125. Mal der Geburtstag von Erich Fromm jährt.

    Weiterlesen

Manche nennen es Blog, manche Web-Seite - ich schreibe hier hin und wieder über meine Erlebnisse, Rückschläge und Erleuchtungen bei meinen Hobbies.

Wer daran teilhaben und eventuell sogar davon profitieren möchte, muss damit leben, daß ich hin und wieder kleine Ausflüge in Bereiche mache, die nichts mit IT, Administration oder Softwareentwicklung zu tun haben.

Ich wünsche allen Lesern viel Spaß und hin und wieder einen kleinen AHA!-Effekt...

PS: Meine öffentlichen Codeberg-Repositories findet man hier.