Im freien Archivierungsprogramm 7-Zip stecken zwei gravierende Sicherheitslücken. Darauf haben Marcin Noga und Jaeson Schultz von Ciscos Security Intelligence and Research Group Talos hingewiesen. Den beiden Sicherheitsforschern zufolge könnten die Schwachstellen in den 7-Zip-Bibliotheken auch dazu führen, dass “Sicherheitsgeräte oder Antivirenprodukte” sowie andere Software anfällig ist.
Grund dafür ist, dass 7-Zip nicht nur von Hunderttausenden von Anwendern eingesetzt, sondern auch von Drittanbieter und Entwickler häufig in ihre Produkte integriert wird. Sie schätzen an dem Open-Source-Packprogramm mit optionaler AES-256-Bit-Verschlüsselung, den Support für große Dateien und die Möglichkeit, jegliche Kompressions-, Konvertierungs- und Verschlüsselungsmethode zu nutzen.
“Leider resultieren viele Sicherheitslücken in Anwendungen daraus, dass sie ihre Eingabedaten nicht ordentlich validieren. Beide 7-Zip-Schwachstellen gehen auf eine fehlerhafte Eingabeprüfung zurück”, erklärt Noga. “Weil Daten aus einer möglicherweise nicht vertrauenswürdigen Quelle stammen, ist die Überprüfung der Eingabedaten von entscheidender Bedeutung für die Sicherheit von Applikationen.”
Die erste, von Marcin Noga entdeckten Schwachstelle mit der Kennung CVE-2016-2335, ist eine sogenannte Out-of-Bounds-Lücke im Zusammenhang mit der Verarbeitung von Dateien im Universal Disk Format (UDF). Der Lesevorgang durch den Partitionstabellen zum Auffinden von Objekten im Dateisystem gescannt werden, lässt sich aufgrund einer unzureichenden Überprüfung theoretisch auf nicht vorgesehene Bereiche ausweiten. Angreifer könnten dies für eine Denial-of-Service-Attacke missbrauchen oder Malware auszuführen.
Die zweite Lücke hat die Kennung CVE-2016-2334 erhalten. Dabei handelt es sich um eine Heap-Overflow-Schwachstelle. Im HFS+-Dateisystem der Software können Dateien in einem komprimierten Format gespeichert werden. Diese Information wird – je nach Größe der Datei – auch in Blöcken abgelegt. Auch hier fehlt Überprüfung, ob die Blockgröße die des Software-Puffers übersteigt. Das führt zu dem Pufferüberlauf-Problem, das dann zum Ausführen von Schadcode ausnutzen lässt.
In der seit Dienstag verfügbaren Version 16.00 des Kompressionsprogramms sind die nun offengelegten Lücken nicht mehr enthalten. Alle Vorgängerversionen sind jedoch anfällig. Sowohl Endverbraucher als auch für Firmen und Entwickler, die die 7-Zip-Funktionen in ihre Produkte integriert haben, sollten sie daher umgehend aktualisieren.
[mit Material von Björn Greif, ZDNet.de]
Tipp: Wie gut kennen Sie sich mit Open Source aus? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de
Ransomware-as-a-Service ist ein lukratives Geschäft und in den Händen professionell organisierter Gruppen. Jetzt können Kriminelle…
Bad Bots richten nicht nur wirtschaftlichen Schaden an. Laut dem Bad Bot Report von Imperva…
Studie von OVHcloud verdeutlicht Stellenwert von Datenresidenz und Datensouveränität bei KI-Anwendungen.
Mit KI können Unternehmen der Paketbranche Prozesse optimieren, Kosten einsparen und sich zukunftssicher aufstellen.
Land Niedersachsen schließt datenschutzrechtliche Vereinbarung mit Microsoft zur Nutzung von Teams ab.
Ein Großteil der Inventurdifferenzen im deutschen Einzelhandel wird durch Ladendiebstähle verursacht.