TeX Virus

vorhergehende Artikel in: Markup Security
03.02.2021

Vor etwas über einem Jahr haben wir für einen Kunden eine Analyse seiner historisch gewachsenen Webseite durchgeführt. Dazu untersuchten wir diverse Aspekte - unter anderem Sicherheit und Performance. Dabei stießen wir auf eine interessante Code-Injection-Lücke.

SQL-Injection ist eine Sau, die so oft durchs Dorf getrieben wurde, dass relativ viele Menschen - auch solche, die nicht beruflich mit IT-Sicherheit zu tun haben - dieses Stichwort bereits einmal gehört haben. Leider ist es so, dass nicht unmittelbar Betroffene dabei stehenbleiben.

Es ist aber so, dass man den Begriff allgemeiner fassen sollte: Code-Injection trifft es meiner Ansicht nach besser: Jede Programmiersprache ist anfällig für den SQL-Injection zugrunde liegenden Mechanismus: Fehlen Gegenmaßnahmen, so wird Code, der in irgendwelche Formularfelder in Webformularen eingegeben wird, im Kontext der Anwendung ausgeführt. In schlimmen Fällen kann der Code dann sogar aus diesem Kontext ausbrechen.

Die besagte Webseite unseres Kunden nutzte TeX, um eingegebene Daten in Bilder umzuwandeln (zum Beispiel Formeln). Ausgehend von Darstellungsfehlern in den Resultaten bei bestimmten Eingaben analysierten wir das System und fanden heraus, dass diese Eingaben ohne jedes Sanitizing in die Datenbank übernommen wurde.

Als wir diese Tatsache aufgedeckt hatten, fragten wir uns, ob damit Code-Injection möglich wäre und wenn ja - wie gefährlich das werden könnte. Meine Kollegin - das muss ich zugeben - war bereits zu diesem Zeitpunkt überzeugt, denn schließlich ist TeX als Programmiersprache Turing-complete.

Ich recherchierte noch ein wenig - vielleicht war ja vor uns bereits jemand auf die Idee gekommen und hatte seine Ergebnisse publiziert?

Ergebnis dieser Recherche war der hier angegebene Link auf ein PDF, in dem ein TeX-Virus beschrieben wird. Damit war auch für mich klar: Code-Injection via TeX funktioniert und ist eine reale Bedrohung - vielleicht nicht in der Größenordnung wie bei SQL-Injection (Webseiten mit Datenbanken sind einfach sehr viel häufiger anzutreffen als solche, die TeX benutzen), aber mindestens genau so gefährlich.

TeX-Virus

Aktualisierung vom 3. Februar 2021

Es gibt Neuigkeiten zu diesem Thema: einige Wissenschaftler untersuchten Online-Portale zur Arbeit mit (La)TeX-Dateien darauf ob diese bösartigen Quelltext akzeptieren und ob und wie sich diese Portale gegen solche Attacken schützen.

Artikel, die hierher verlinken

XML und ungültige Zeichen

17.09.2017

Ich mag Markup - egal in welcher Form (ich habe hin und wieder darüber berichtet). XML - wie der Name schon sagt - gehört auch dazu und zu meinem Erstaunen habe ich neulich wieder mal etwas Neues darüber gelernt...

Alle Artikel rss Wochenübersicht Monatsübersicht Codeberg Repositories Mastodon Über mich home xmpp


Vor 5 Jahren hier im Blog

  • When Someone Requests a Jimi Hendrix Song

    23.08.2020

    Er hier ist mir schon einige Male mit interessanten Videos aufgefallen...

    Weiterlesen

Neueste Artikel

  • Anlehnung an todo.txt für collectedlinks

    Ich habe den Generator für meine Heimatseite im Zwischennetz wieder um ein neues Feture erweitert.

    Weiterlesen
  • NeoVim und ausrangierte Plugins

    Ich habe nun seit geraumer Zeit NeoVim im Einsatz im Produktivbetrieb zum Entwickeln - nicht nur - von Software. Dabei hat sich gezeigt, dass ich meinem Ziel, der Philosophie des Einsatzes möglichst weniger Plugins immer näher komme:

    Weiterlesen
  • Kritzelgenerator

    Ich habe mal wieder etwas im Internet gefunden, das mich herausforderte, eine Fingerübung in Java abzuhalten:

    Weiterlesen

Manche nennen es Blog, manche Web-Seite - ich schreibe hier hin und wieder über meine Erlebnisse, Rückschläge und Erleuchtungen bei meinen Hobbies.

Wer daran teilhaben und eventuell sogar davon profitieren möchte, muss damit leben, daß ich hin und wieder kleine Ausflüge in Bereiche mache, die nichts mit IT, Administration oder Softwareentwicklung zu tun haben.

Ich wünsche allen Lesern viel Spaß und hin und wieder einen kleinen AHA!-Effekt...

PS: Meine öffentlichen Codeberg-Repositories findet man hier.