Sicherheitslücke in WinZip erlaubt Programmausführung

Angreifer können schadhaften Programmcode in MIME-kodierten Dateien ablegen

Das in der Windows-Welt verbreitete Kompressions-Tool WinZip weist in zahlreichen Versionen ein Sicherheitsleck auf, worüber Angreifer beliebigen Programmcode auf einem anderen System ausführen können. Das Sicherheitsloch betrifft alle früheren WinZip-Fassungen ab Version 6.2 - lediglich das kürzlich erschienene WinZip 9 weist das Sicherheitsrisiko nicht mehr auf. Patches für ältere WinZip-Versionen bietet der Hersteller jedoch nicht an.

Artikel veröffentlicht am ,

So verursachen die betroffenen Versionen von WinZip einen Buffer Overflow, wenn präparierte und seltener häufig verwendete MIME-kodierte Dateien mit WinZip geöffnet werden, wie Experten von iDefense herausgefunden haben. Das Sicherheitsleck erlaubt einem Angreifer so, über Dateien der Endungen .MIM, .UUE, .UU, .B64, .BHX, .HQX und .XXE beliebigen Programmcode innerhalb des Archivs auf ein fremdes System zu schleusen und sich dadurch eine weit reichende Kontrolle über das System zu verschaffen. Ein potenzielles Opfer muss lediglich dazu gebracht werden, eine solche Datei mit einer älteren WinZip-Version zu öffnen.

Stellenmarkt
  1. Frontend Entwickler (m/w/d) mit Leidenschaft in Flutter
    CodeCamp:N GmbH, Nürnberg
  2. Qualitätsingenieur (m/w/d) Software / System
    Elektronische Fahrwerksysteme GmbH, Ingolstadt
Detailsuche

Normalerweise enthalten MIME-Dateien keinen direkt ausführbaren Programmcode, so dass Nutzer sich hier in fälschlicher Sicherheit wiegen. Ein Angreifer kann derartige Dateien etwa in E-Mails einbinden, auf Internetseiten zum Download anbieten oder über Peer-to-Peer-Netzwerke bereitstellen, um so das Sicherheitsleck auf fremden Systemen auszunutzen.

Der Hersteller bietet lediglich WinZip 9 an, worin das Sicherheitsleck geschlossen wurde. Für Vorversionen werden keine Patches angeboten. Registrierte WinZip-Nutzer erhalten die aktuelle Version kostenlos, allerdings steht bislang nur die englischsprachige Version zur Verfügung. Da das Sicherheitsloch andere Packer-Programme nicht betrifft, kann zur Abhilfe auch eines dieser Packer-Tools verwendet werden.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Michael 13. Mär 2004

Alternativ gibt es auch noch Filzip. Aber WinZip nutze ich schon seit Jahren nicht mehr.

Peter 01. Mär 2004

Winzip ist und war schon immer Standard. Ist genau wie die Sache mit Windows, war und ist...

SuperIO 01. Mär 2004

Ich frage mich schon die ganze Zeit: Warum wird WinZip 9 (auch hier) so gepuscht? WinZip...

Blar 01. Mär 2004

Ist eine neue Version nix? Eine alte Version ist ja Updatefähig auf die neue WinZip 9...



Aktuell auf der Startseite von Golem.de
Pixel 6 und 6 Pro im Test
Google hat es endlich geschafft

Das Pixel 6 und Pixel 6 Pro werden endlich Googles Rang als Android-Macher gerecht: Die Smartphones bieten starke Hardware und sinnvolle Software.
Ein Test von Tobias Költzsch

Pixel 6 und 6 Pro im Test: Google hat es endlich geschafft
Artikel
  1. Apple-Software-Updates: iOS 15.1, iPadOS 15.1, WatchOS 8.1 und TVOS 15.1 verfügbar
    Apple-Software-Updates
    iOS 15.1, iPadOS 15.1, WatchOS 8.1 und TVOS 15.1 verfügbar

    Die ersten größeren Aktualisierungen für iPhone, iPad, Apple Watch und Apple TV sind da. Wer das iPhone 13 verwendet, profitiert besonders.

  2. Desktop-Betriebssystem: Apple MacOS Monterey mit neuem Safari und Fokus-Funktion
    Desktop-Betriebssystem
    Apple MacOS Monterey mit neuem Safari und Fokus-Funktion

    Apple hat die finale Version seines Mac-Betriebssystems MacOS Monterey veröffentlicht. Dabei sind ein neuer Safari-Browser und eine Konzentrationsfunktion.

  3. 20 Jahre Windows XP: Der letzte XP-Fan
    20 Jahre Windows XP
    Der letzte XP-Fan

    Windows XP wird 20 Jahre alt - und nur wenige nutzen es noch täglich. Golem.de hat einen dieser Anwender besucht.
    Ein Interview von Martin Wolf

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Bosch Professional günstiger • Punkte sammeln bei MM für Club-Mitglieder: 1.000 Punkte geschenkt • Alternate (u. a. Apacer 1TB SATA 86,90€ & Team Group 1TB PCIe 4.0 159,90€) • Echo Show 8 (1. Gen.) 64,99€ • Halloween Sale bei Gamesplanet • Smart Home von Eufy günstiger [Werbung]
    •  /