TeX Virus

vorhergehende Artikel in: Markup Security
03.02.2021

Vor etwas über einem Jahr haben wir für einen Kunden eine Analyse seiner historisch gewachsenen Webseite durchgeführt. Dazu untersuchten wir diverse Aspekte - unter anderem Sicherheit und Performance. Dabei stießen wir auf eine interessante Code-Injection-Lücke.

SQL-Injection ist eine Sau, die so oft durchs Dorf getrieben wurde, dass relativ viele Menschen - auch solche, die nicht beruflich mit IT-Sicherheit zu tun haben - dieses Stichwort bereits einmal gehört haben. Leider ist es so, dass nicht unmittelbar Betroffene dabei stehenbleiben.

Es ist aber so, dass man den Begriff allgemeiner fassen sollte: Code-Injection trifft es meiner Ansicht nach besser: Jede Programmiersprache ist anfällig für den SQL-Injection zugrunde liegenden Mechanismus: Fehlen Gegenmaßnahmen, so wird Code, der in irgendwelche Formularfelder in Webformularen eingegeben wird, im Kontext der Anwendung ausgeführt. In schlimmen Fällen kann der Code dann sogar aus diesem Kontext ausbrechen.

Die besagte Webseite unseres Kunden nutzte TeX, um eingegebene Daten in Bilder umzuwandeln (zum Beispiel Formeln). Ausgehend von Darstellungsfehlern in den Resultaten bei bestimmten Eingaben analysierten wir das System und fanden heraus, dass diese Eingaben ohne jedes Sanitizing in die Datenbank übernommen wurde.

Als wir diese Tatsache aufgedeckt hatten, fragten wir uns, ob damit Code-Injection möglich wäre und wenn ja - wie gefährlich das werden könnte. Meine Kollegin - das muss ich zugeben - war bereits zu diesem Zeitpunkt überzeugt, denn schließlich ist TeX als Programmiersprache Turing-complete.

Ich recherchierte noch ein wenig - vielleicht war ja vor uns bereits jemand auf die Idee gekommen und hatte seine Ergebnisse publiziert?

Ergebnis dieser Recherche war der hier angegebene Link auf ein PDF, in dem ein TeX-Virus beschrieben wird. Damit war auch für mich klar: Code-Injection via TeX funktioniert und ist eine reale Bedrohung - vielleicht nicht in der Größenordnung wie bei SQL-Injection (Webseiten mit Datenbanken sind einfach sehr viel häufiger anzutreffen als solche, die TeX benutzen), aber mindestens genau so gefährlich.

TeX-Virus

Aktualisierung vom 3. Februar 2021

Es gibt Neuigkeiten zu diesem Thema: einige Wissenschaftler untersuchten Online-Portale zur Arbeit mit (La)TeX-Dateien darauf ob diese bösartigen Quelltext akzeptieren und ob und wie sich diese Portale gegen solche Attacken schützen.

Artikel, die hierher verlinken

XML und ungültige Zeichen

17.09.2017

Ich mag Markup - egal in welcher Form (ich habe hin und wieder darüber berichtet). XML - wie der Name schon sagt - gehört auch dazu und zu meinem Erstaunen habe ich neulich wieder mal etwas Neues darüber gelernt...

Alle Artikel rss Wochenübersicht Monatsübersicht Github Repositories Gitlab Repositories Mastodon Über mich home xmpp


Vor 5 Jahren hier im Blog

  • Mandelbrot-Sets mittels Shadern berechnen

    17.05.2019

    Nachdem ich in den letzten verregneten Tagen auf Youtube in den Videos von Numberphile versunken bin, hat mich eines davon angestachelt, mich selbst mit dem Mandelbrotset zu beschäftigen. Als ich dann noch Code fand, der behauptete, das auf einer Graphikkarte mittels Shadern berechnen zu können, war es um mich geschehen...

    Weiterlesen...

Neueste Artikel

  • Erste Vor-Version eines Gis-Plugin für die sQLshell

    Wie bereits in einem früheren Artikel erwähnt plane ich, demnächst ein Plugin für die sQLshell anzubieten, das eine Visualisierung von Daten mit räumlichem Bezug im Stil eines Geoinformationssystems erlaubt.

    Weiterlesen...
  • bad-certificates Version 2.1.0

    Das bereits vorgestellte Projekt zur automatisierten Erzeugung von Zertifikaten mit allen möglichen Fehlern hat eine Erweiterung erfahren und verfügt über ein Partnerprojekt - beide sind nunmehr in der Version 2.1.0 freigegeben

    Weiterlesen...
  • SQLite als Geodatenbank

    Wie bereits in einem früheren Artikel beschrieben treibe ich derzeit Anstrengungen voran, die sQLshell attraktiver für Nutzer zu machen, die mit Geodatenbanken arbeiten.

    Weiterlesen...

Manche nennen es Blog, manche Web-Seite - ich schreibe hier hin und wieder über meine Erlebnisse, Rückschläge und Erleuchtungen bei meinen Hobbies.

Wer daran teilhaben und eventuell sogar davon profitieren möchte, muß damit leben, daß ich hin und wieder kleine Ausflüge in Bereiche mache, die nichts mit IT, Administration oder Softwareentwicklung zu tun haben.

Ich wünsche allen Lesern viel Spaß und hin und wieder einen kleinen AHA!-Effekt...

PS: Meine öffentlichen GitHub-Repositories findet man hier - meine öffentlichen GitLab-Repositories finden sich dagegen hier.