Abo
  • Services:

Dateikompression: Bug in 7-Zip 18.01 ermöglicht Codeausführung beim Entpacken

Ein Bug macht sich uninitialisierten Speicher zunutze, um darüber beliebigen Code beim Entpacken von Dateiarchiven mit 7-Zip auszuführen. Ein Softwareentwickler hat die Lücke entdeckt und zu Demonstrationszwecken ausgenutzt. Statt dem Windows-Taschenrechner könnte darüber auch Schlimmeres ausgeführt werden.

Artikel veröffentlicht am ,
7-Zip-Archive könnten infiziert sein.
7-Zip-Archive könnten infiziert sein. (Bild: Pixabay.com/Montage: Golem.de)

Der Betreiber des Security-Blogs Iandave.io hat einen Bug im kostenfreien Archivtool 7-Zip gefunden, mit dem sich Code nach dem Entpacken automatisch ausführen lässt. Er beschreibt das Problem und einen möglichen Exploit detailliert auf seiner Seite. Der Fehler hat die Kennziffer CVE-2018-10115 erhalten. Er tritt in Verbindung mit Solid Compression auf, einem RAR-Kompressionsverfahren, das einen ganzen Datenblock aus einer Datensammlung erstellt, etwa einem Ordner mit Unterordnern.

Stellenmarkt
  1. Eckelmann AG, Wiesbaden
  2. Software AG, Darmstadt

Das Problem ist, dass bei diesem Verfahren nicht initialisierter Speicher freigegeben wird, weil der RAR-Handler dem Decoder eine falsche Konfiguration übermittelt. Da Decoder-Klassen sich im Quellcode falsch initialisieren, bevor sie zum ersten Mal genutzt werden, nehmen diese eben eine inkorrekte Konfiguration an. Dort sieht der Entdecker auch die Lösung des Bugs - etwa, indem eine Abfrage im Konstruktor der Klasse untergebracht wird.

Demo-Video zeigt den Bug in Aktion

Mithilfe des uninitialisierten Speichers konnte der Entwickler Code schreiben, der automatisch den in Windows 10 integrierten Taschenrechner ausführt. Er hat das Ergebnis in einem Demo-Video festgehalten. Der Exploit funktioniert mit der aktuellen 64-Bit-Windows-10-Version Redstone 4 mit der Build-Nummer 17134.1. Die genutzte 7-Zip-Version ist 18.01 vom 28. Januar 2018. Sobald Nutzer das manipulierte Archiv über das Kontextmenü mit dem Menüpunkt "Hier extrahieren" oder "zu Unterordner extrahieren" entpacken, öffnet sich der Taschenrechner. Natürlich ist das an sich nicht gefährlich, jedoch könnte sich statt dem Taschenrechner auch Malware unbemerkt installieren, beispielsweise über ein Batch-Script.

Allerdings ist das mittlerweile kein großes Problem mehr: 7-Zip-Entwickler Igor Pavlov hat den Fehler zusammen mit einigen anderen Angriffsvektoren mit der Version 18.05 behoben, die es seit dem 30. April gibt. Nutzer sollten sich diese Version daher schnell herunterladen.



Anzeige
Spiele-Angebote
  1. 14,99€ + 1,99€ Versand oder Abholung im Markt
  2. (-31%) 23,99€
  3. 59,99€ mit Vorbesteller-Preisgarantie
  4. 9,99€

nille02 06. Mai 2018

Kleiner Zusatz. Auch braucht man keine administrativen Rechte für die Installation, was...

Mixermachine 05. Mai 2018

Die erste Seite die ich per Google.de angezeigt bekomme ist wohl die de Version der...

GaliMali 04. Mai 2018

das stellt sich die Frage: braucht 7z einen Update Hinweis Ohne Golem hatte ich von den...


Folgen Sie uns
       


Sonnet eGFX Box 650W - Test

Die eGFX Box von Sonnet hat 650 Watt und ist ein externes Grafikkarten-Gehäuse. Sie funktioniert mit AMDs Radeon RX Vega 64 und wird per Thunderbolt 3 an ein Notebook angeschlossen. Der Lüfter und das Netzteil sind vergleichsweise leise, der Preis fällt mit 450 Euro recht hoch aus.

Sonnet eGFX Box 650W - Test Video aufrufen
Automatisiertes Fahren: Der schwierige Weg in den selbstfahrenden Stau
Automatisiertes Fahren
Der schwierige Weg in den selbstfahrenden Stau

Der Staupilot im neuen Audi A8 soll der erste Schritt auf dem Weg zum hochautomatisierten Fahren sein. Doch die Verhandlungen darüber, was solche Autos können müssen, sind sehr kompliziert. Und die Tests stellen Audi vor große Herausforderungen.
Ein Bericht von Friedhelm Greis

  1. Nach tödlichem Unfall Uber entlässt 100 Testfahrer für autonome Autos
  2. Autonomes Fahren Daimler und Bosch testen fahrerlose Flotte im Silicon Valley
  3. Kooperationen vereinbart Deutschland setzt beim Auto der Zukunft auf China

Russische Agenten angeklagt: Mit Bitcoin und CCleaner gegen Hillary Clinton
Russische Agenten angeklagt
Mit Bitcoin und CCleaner gegen Hillary Clinton

Die US-Justiz hat zwölf russische Agenten wegen des Hacks im US-Präsidentschaftswahlkampf angeklagt. Die Anklageschrift nennt viele technische Details und erhebt auch Vorwürfe gegen das Enthüllungsportal Wikileaks.

  1. Nach Gipfeltreffen Trump glaubt Putin mehr als US-Geheimdiensten
  2. US Space Force Planlos im Weltraum
  3. Gewalt US-Präsident Trump will Gespräch mit Spielebranche

Indiegames-Rundschau: Schiffbruch, Anime und viel Brummbrumm
Indiegames-Rundschau
Schiffbruch, Anime und viel Brummbrumm

Gas geben, den weißen Hai besiegen und endlich die eine verlorene Socke wiederfinden: Die sommerlichen Indiegames bieten für jeden etwas - besonders fürs Spielen zu zweit.
Von Rainer Sigl

  1. Indiegames-Rundschau Schwerelose Action statt höllischer Qualen
  2. Indiegames-Rundschau Kampfkrieger und Abenteuer in 1001 Nacht
  3. Indiegames-Rundschau Mutige Mäuse und tapfere Trabbis

    •  /