Abo
  • Services:

Dateikompression: Bug in 7-Zip 18.01 ermöglicht Codeausführung beim Entpacken

Ein Bug macht sich uninitialisierten Speicher zunutze, um darüber beliebigen Code beim Entpacken von Dateiarchiven mit 7-Zip auszuführen. Ein Softwareentwickler hat die Lücke entdeckt und zu Demonstrationszwecken ausgenutzt. Statt dem Windows-Taschenrechner könnte darüber auch Schlimmeres ausgeführt werden.

Artikel veröffentlicht am ,
7-Zip-Archive könnten infiziert sein.
7-Zip-Archive könnten infiziert sein. (Bild: Pixabay.com/Montage: Golem.de)

Der Betreiber des Security-Blogs Iandave.io hat einen Bug im kostenfreien Archivtool 7-Zip gefunden, mit dem sich Code nach dem Entpacken automatisch ausführen lässt. Er beschreibt das Problem und einen möglichen Exploit detailliert auf seiner Seite. Der Fehler hat die Kennziffer CVE-2018-10115 erhalten. Er tritt in Verbindung mit Solid Compression auf, einem RAR-Kompressionsverfahren, das einen ganzen Datenblock aus einer Datensammlung erstellt, etwa einem Ordner mit Unterordnern.

Stellenmarkt
  1. OEDIV Oetker Daten- und Informationsverarbeitung KG, Bielefeld
  2. BWI GmbH, verschiedene Standorte

Das Problem ist, dass bei diesem Verfahren nicht initialisierter Speicher freigegeben wird, weil der RAR-Handler dem Decoder eine falsche Konfiguration übermittelt. Da Decoder-Klassen sich im Quellcode falsch initialisieren, bevor sie zum ersten Mal genutzt werden, nehmen diese eben eine inkorrekte Konfiguration an. Dort sieht der Entdecker auch die Lösung des Bugs - etwa, indem eine Abfrage im Konstruktor der Klasse untergebracht wird.

Demo-Video zeigt den Bug in Aktion

Mithilfe des uninitialisierten Speichers konnte der Entwickler Code schreiben, der automatisch den in Windows 10 integrierten Taschenrechner ausführt. Er hat das Ergebnis in einem Demo-Video festgehalten. Der Exploit funktioniert mit der aktuellen 64-Bit-Windows-10-Version Redstone 4 mit der Build-Nummer 17134.1. Die genutzte 7-Zip-Version ist 18.01 vom 28. Januar 2018. Sobald Nutzer das manipulierte Archiv über das Kontextmenü mit dem Menüpunkt "Hier extrahieren" oder "zu Unterordner extrahieren" entpacken, öffnet sich der Taschenrechner. Natürlich ist das an sich nicht gefährlich, jedoch könnte sich statt dem Taschenrechner auch Malware unbemerkt installieren, beispielsweise über ein Batch-Script.

Allerdings ist das mittlerweile kein großes Problem mehr: 7-Zip-Entwickler Igor Pavlov hat den Fehler zusammen mit einigen anderen Angriffsvektoren mit der Version 18.05 behoben, die es seit dem 30. April gibt. Nutzer sollten sich diese Version daher schnell herunterladen.



Anzeige
Spiele-Angebote
  1. 59,99€ mit Vorbesteller-Preisgarantie (Release 26.02.)
  2. 5,99€
  3. 32,99€

nille02 06. Mai 2018

Kleiner Zusatz. Auch braucht man keine administrativen Rechte für die Installation, was...

Mixermachine 05. Mai 2018

Die erste Seite die ich per Google.de angezeigt bekomme ist wohl die de Version der...

GaliMali 04. Mai 2018

das stellt sich die Frage: braucht 7z einen Update Hinweis Ohne Golem hatte ich von den...


Folgen Sie uns
       


Nokia 9 Pureview - Hands on (MWC 2019)

Das neue Nokia 9 Pureview von HMD Global verspricht mit seinen fünf Hauptkameras eine verbesserte Bildqualität. Wir haben das im Hands on überprüft.

Nokia 9 Pureview - Hands on (MWC 2019) Video aufrufen
Geforce GTX 1660 im Test: Für 230 Euro eine faire Sache
Geforce GTX 1660 im Test
Für 230 Euro eine faire Sache

Die Geforce GTX 1660 - ohne Ti am Ende - rechnet so flott wie AMDs Radeon RX 590 und kostet in etwa das Gleiche. Der klare Vorteil der Nvidia-Grafikkarte ist die drastisch geringere Leistungsaufnahme.

  1. EC2 G4 AWS nutzt Nvidias Tesla T4 für Inferencing-Cloud
  2. Zotac Geforce GTX 1660 Ti im Test Gute 1440p-Karte für unter 300 Euro
  3. Nvidia Turing OBS unterstützt Encoder der Geforce RTX

Flugzeugabsturz: Boeing 737 MAX geht wegen Softwarefehler außer Betrieb
Flugzeugabsturz
Boeing 737 MAX geht wegen Softwarefehler außer Betrieb

Wegen eines bekannten Softwarefehlers wird der Flugbetrieb für Boeings neustes Flugzeug fast weltweit eingestellt - Die letzte Ausnahme war: die USA. Der Umgang der amerikanischen Flugaufsichtsbehörde mit den Problemen des neuen Flugzeugs erscheint zweifelhaft.

  1. Boeing Rollout der neuen 777X in wenigen Tagen
  2. Boeing 747 Der Jumbo Jet wird 50 Jahre alt
  3. Lufttaxi Uber sucht eine weitere Stadt für Uber-Air-Test

Google: Stadia tritt gegen Gaming-PCs, Playstation und Xbox an
Google
Stadia tritt gegen Gaming-PCs, Playstation und Xbox an

GDC 2019 Google streamt nicht nur so ein bisschen - stattdessen tritt der Konzern mit Stadia in direkte Konkurrenz zur etablierten Spielebranche. Entwickler können für ihre Games mehr Teraflops verwenden als auf der PS4 Pro und der Xbox One X zusammen.
Von Peter Steinlechner


      •  /