Abo
  • Services:

Schadcode: 19 Jahre alte Sicherheitslücke in Winrar

Vorsicht beim Entpacken von ACE-Archiven: Sie können Dateien an beliebige Orte des Systems schreiben - und damit auch Code ausführen. Ein stabiles Update von Winrar wurde noch nicht veröffentlicht.

Artikel veröffentlicht am ,
Vorsicht ist beim Entpacken von ACE-Dateien geboten.
Vorsicht ist beim Entpacken von ACE-Dateien geboten. (Bild: bluebudgie/Pixabay)

Bereits seit 19 Jahren soll eine Sicherheitslücke in dem Packprogramm Winrar stecken. Die Lücke ermöglicht es, beim Entpacken eines Archivs Dateien an beliebigen Orten zu speichern - und damit auch Code auszuführen. Entdeckt wurde die Lücke von der Sicherheitsfirma Checkpoint. Winrar wird nach Angaben des Herstellers weltweit von mehr als 500 Millionen Nutzern verwendet.

Stellenmarkt
  1. KARL MAYER, Obertshausen
  2. Stadtwerke München GmbH, München

Die Sicherheitsforscher hatten die Software mit einem Fuzzing-Tool bearbeitet, mit welchem eine Software mit zufälligen Daten gefüttert wird. Dabei entdeckten sie mehrere Sicherheitslücken, darunter eine Path-Traversal-Attacke. Mit dieser kann der Zielordner der zu entzippenden Datei geändert werden. Entpackt ein Opfer ein präpariertes ACE-Archiv, kann ein Angreifer beliebige Dateien an beliebige Orte entpacken, auf die der Nutzer Schreibzugriff hat. Beispielsweise können Dateien in den Windows-Autostart geschrieben werden und so beim nächsten Nutzerlogin Software ausgeführt werden. So lässt sich beispielsweise ein Trojaner oder eine Ransomware auf einem System platzieren.

Winrar verabschiedet sich von ACE

Die Winrar-Entwickler hatten ACE über die proprietäre Bibliothek unacev2.dll eingebunden, die nach Angaben der Entwickler seit 2005 kein Update mehr erhalten hat. Auf den Quellcode der Bibliothek haben sie keinen Zugriff, sie können die Lücke entsprechend nicht fixen. In Version 5.70 beta 1 haben sie die Bibliothek und damit den Support für ACE-Archive kurzerhand entfernt. Die aktuelle stabile Version ist von der Sicherheitslücke wohl weiterhin betroffen. Das Gleiche dürfte für andere Programme gelten, die auf die Bibliothek setzen.



Anzeige
Spiele-Angebote
  1. (-55%) 26,99€
  2. 4,99€
  3. 32,49€
  4. (-83%) 8,50€

heikom36 22. Feb 2019 / Themenstart

Erinnerungen werden wach. Stimmt. So Ende der 90'er war so gut wie alles arj gepackt...

heikom36 22. Feb 2019 / Themenstart

In wiefern sollte das helfen? WINRAR erkennt an der Datei selbst, dass es dann ace ist...

heikom36 22. Feb 2019 / Themenstart

So Ende der 90'er war ace noch sehr weit verbreitet. Als ich noch ace nutzte, entpackte...

heikom36 22. Feb 2019 / Themenstart

Das heise-Forum ist mittlerweile zwar super duper mies geworden weil es extrem schlecht...

Phantom 22. Feb 2019 / Themenstart

Erstveröffentlichungsdatum: 18. Juli 1999

Kommentieren


Folgen Sie uns
       


Tesla Model 3 - Test

Das Tesla Model 3 ist seit Mitte Februar 2019 in Deutschland erhältlich. Wir sind es gefahren.

Tesla Model 3 - Test Video aufrufen
Galaxy S10e im Test: Samsungs kleines feines Top-Smartphone
Galaxy S10e im Test
Samsungs kleines feines Top-Smartphone

Mit dem Galaxy S10e bietet Samsung auch ein kompaktes Modell seiner neuen Oberklasse-Smartphone-Serie an. Beim Gerät gibt es zwar ein paar Abstriche bei der Hardware, es liegt aber fantastisch in der Hand und macht super Fotos - für uns der klare Geheimtipp der neuen Reihe.
Ein Test von Tobias Költzsch

  1. Samsung Galaxy M20 kommt an drei Tagen nach Deutschland
  2. Smartphone Samsungs LPDDR4X-Speicher fasst 12 GByte
  3. Non-Volatile Memory Samsung liefert eMRAM aus

Geforce GTX 1660 im Test: Für 230 Euro eine faire Sache
Geforce GTX 1660 im Test
Für 230 Euro eine faire Sache

Die Geforce GTX 1660 - ohne Ti am Ende - rechnet so flott wie AMDs Radeon RX 590 und kostet in etwa das Gleiche. Der klare Vorteil der Nvidia-Grafikkarte ist die drastisch geringere Leistungsaufnahme.

  1. Nvidia Turing OBS unterstützt Encoder der Geforce RTX
  2. Geforce GTX 1660 Ti im Test Nvidia kann Turing auch günstig(er)
  3. Turing-Grafikkarten Nvidias Geforce 1660/1650 erscheint im März

Display-Technik: So funktionieren Micro-LEDs
Display-Technik
So funktionieren Micro-LEDs

Nach Flüssigkristallanzeigen (LCD) mit Hintergrundbeleuchtung und OLED-Bildschirmen sind Micro-LEDs der nächste Schritt: Apple arbeitet daran für Smartwatches und Samsung hat bereits einen Fernseher vorgestellt. Die Technik hat viele Vorteile, ist aber aufwendig in der Fertigung.
Von Mike Wobker

  1. AU Optronics Apple soll Wechsel von OLEDs zu Micro-LEDs vorbereiten

    •  /