Integer-Überlauf.

Integer-Überläufe entstehen, wenn Berechnungen den maximal (oder minimal) darstellbaren Wert eines Integer-Typs überschreiten, was Wraparound, Vorzeichenwechsel oder Truncation auslöst. Sicherheitsrelevant wird das, wenn der falsche Wert später als Puffergröße, Schleifenzähler, Array-Index oder Autorisierungsprüfung verwendet wird – häufig mit Pufferüberläufen, Endlosschleifen oder umgangenen Limits als Folge.

Das klassische Muster. Eine häufige Schwachstelle ist malloc(count * size): Läuft count * size über SIZE_MAX hinaus um, liefert der Allocator einen Puffer, der weit kleiner ist als vom Code angenommen, und die anschließende Kopie schreibt über das Ende hinaus – ein Überlauf, der durch eine Multiplikation ausgelöst wird, nicht durch eine falsche memcpy-Länge. Androids Stagefright-Familie von 2015 (CVE-2015-1538) nutzte genau das aus: Ein Integer-Überlauf im stsc-Metadaten-Atom einer MP4-Datei führte zu einer zu kleinen Heap-Allokation, sodass eine einzige MMS-Nachricht auf schätzungsweise 950 Millionen Geräten Remote Code Execution erreichen konnte. Der OpenSSH-Challenge-Response-Fehler von 2002 (CVE-2002-0639) sowie viele Bild-Codec- und Font-Parser-Bugs folgen derselben Form. Signed-to-Unsigned-Konvertierungen sind eine verwandte Falle: Eine negative Länge, die als riesiger Unsigned-Wert interpretiert wird, hebelt eine naive Prüfung wie if (len > max) aus.

Zu den Abwehrmaßnahmen zählen geprüfte Arithmetik (Rusts checked_add/checked_mul, C23 ckd_*, Compiler--ftrapv und UBSan), das Rechnen in einem breiteren Typ mit anschließender Bereichsprüfung vor dem Verengen, die Wahl von Typen, die zur Domäne passen, das Validieren angreifergesteuerter Größen vor der Allokation und aggressives Fuzzing von Parsern.

flowchart TD
  A[Angreifergesteuerte<br/>count und size] --> B[size = count * elem]
  B --> C{Produkt größer als<br/>Typmaximum?}
  C -->|Nein| D[Korrekte Allokation]
  C -->|Ja| E[Wert läuft zu einer<br/>kleinen Zahl um]
  E --> F[Zu kleiner Puffer alloziert]
  F --> G[Kopie schreibt über das Ende<br/>Heap-Korruption / RCE]