MimeTeX Schwachstellen-Referenz (CVE-2024-40445 & CVE-2024-40446)

Dieses Repository dient als öffentliche Referenz für die Sicherheitsprobleme CVE-2024-40445 und CVE-2024-40446, die MimeTeX betreffen, einen leichten Open-Source-LaTeX-Renderer, der in C geschrieben ist.

⚠️ MimeTeX scheint nicht mehr aktiv gewartet zu werden. Benutzer und Entwickler werden dringend gebeten, die Risiken abzuschätzen, bevor sie es in Produktionsumgebungen einsetzen.

Schwachstellen

CVE-2024-40445 — Verzeichnis-Traversal

Eine Verzeichnis-Traversal-Schwachstelle existiert in MimeTeX vor Version 1.77. Im Befehlszeilen- oder CGI-Modus kann manipulierte Benutzereingabe verwendet werden, um unbefugte Dateizugriffsoperationen auf Windows-Systemen durchzuführen.

CVE-2024-40446 — Code Injection

MimeTeX-Versionen von 1.76 bis 1.77 enthalten eine Code-Injection-Schwachstelle. Eine bösartige Eingabezeichenfolge kann, wenn sie vom Parser verarbeitet wird, eine unbeabsichtigte Befehlsausführung auslösen.

Möglicherweise betroffene Benutzer

Wenn Sie Moodle verwenden, das scheinbar eine der Hauptplattformen ist, die MimeTeX noch einsetzen, lesen Sie bitte deren Sicherheitshinweis für Abhilfemaßnahmen.

Abhilfemaßnahmen

Wenn Sie MimeTeX verwenden:

• Stellen Sie die Nutzung ein, da es ungewartet und anfällig zu sein scheint.
• Beschränken Sie Benutzereingaben, falls die Nutzung nicht sofort eingestellt werden kann.
• Isolieren Sie den Dienst durch Sandboxing oder Containerisierung, um die Auswirkungen potenzieller Exploits zu begrenzen.

Haftungsausschluss

Dieses Repository dient ausschließlich Informationszwecken. Technische Details wurden geschwärzt, um potenzielle Risiken für Benutzer und Systeme, die noch betroffene Versionen verwenden, zu minimieren.

---

CVE-IDs: CVE-2024-40445, CVE-2024-40446
Hersteller: forkosh
Status: Betroffene Versionen werden nicht mehr aktiv gewartet.