Datei öffnen reicht: Gefährliche 7-Zip-Lücke ermöglicht Schadcode-Attacken
In dem weitverbreiteten Packprogramm 7-Zip wurde mal wieder eine gefährliche Sicherheitslücke entdeckt, die es Angreifern ermöglicht, Nutzern Schadcode unterzuschieben und diesen zur Ausführung zu bringen. Entdeckt wurde die Lücke von einem GHSL-Forscher (Github Security Lab). Wie dieser in einem Blogbeitrag(öffnet im neuen Fenster) schildert, gibt es bereits eine gepatchte Version. Nutzer sollten 7-Zip also zügig updaten.
Die besagte Sicherheitslücke ist als CVE-2026-48095 registriert und verfügt mit einem CVSS-Wert von 8,8 über einen hohen Schweregrad. Ursache ist laut Bericht ein möglicher Heap-Pufferüberlauf, der durch eine "zu geringe Allokation im NTFS-Komprimierungs-Stream-Puffer verursacht wird".
Bei einem erfolgreichen Angriff kann sowohl ein Denial-of-Service-Zustand hervorgerufen als auch Schadcode zur Ausführung gebracht werden. Doch nicht jedes System ist gleichermaßen anfällig. Bei 32-Bit-Systemen soll der Pufferüberlauf immer funktionieren. Bei 64-Bit-Systemen gelingt der Angriff aber wohl nur dann zuverlässig, wenn mindestens 16 GByte RAM verbaut sind.
Hinter beliebigen Dateiendungen versteckt
Ausnutzen lässt sich die Sicherheitslücke nach Angaben des Github-Forschers durch ein speziell gestaltetes NTFS-Image, welches jedoch eine beliebige Dateinamenserweiterung aufweisen kann. Als Beispiele nennt er die für Datenarchive gängigen Erweiterungen .7z, .zip und .rar. Der Angriff funktioniere aber auch ganz ohne eine Dateiendung, heißt es.
Aufgrund einer bestimmten Signatur im Image des Angreifers öffne der NTFS-Handler die jeweilige Datei, nachdem der auf die Endung abgestimmte Handler sie abgelehnt habe. Den Angaben zufolge reicht es dafür aus, dass ein Nutzer das Image mit 7-Zip öffnet. Weitere Nutzerinteraktionen sind für einen erfolgreichen Angriff wohl nicht erforderlich.
Nähere Details zu CVE-2026-48095 sowie ein Proof-of-Concept-Exploit sind im GHSL-Bericht(öffnet im neuen Fenster) zu finden. Gepatcht wurde die Lücke mit der am 27. April veröffentlichten 7-Zip-Version 26.01. Diese steht für Windows, Linux und MacOS zur Verfügung und kann über die offizielle Website des Projektes(öffnet im neuen Fenster) heruntergeladen werden.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.