Das beliebte und kostenlos erhältliche Open-Source-Programm 7-Zip enthält eine schwerwiegende Sicherheitslücke. Angreifer könnten bei einer erfolgreichen Attacke Schadcode ausführen. Eine abgesicherte Version steht zur Verfügung.
Das Center for Internet Security (kurz: CIS) warnt vor einer schwerwiegenden Bedrohung im freien Pack- und Komprimierungsprogramm 7-Zip. Das CIS stuft dabei die Bedrohung mit dem Grad „hoch“ ein. Die genaue Gefahreneinschätzung gibt es hier zu finden.
Mit der Version 18.05 haben die 7-Zip Entwickler bereits Abhilfe geschaffen. Diese steht ab sofort zum Download zur Verfügung. Die beschriebene Sicherheitslücke (CVE-2018-10115) soll in allen vorigen Versionen vorhanden sein. Ein Update ist daher zwingend erforderlich!
Fehlender Schutzmechanismus ASLR
Die ausführbaren Datein des Packprogramms (7zFM.exe, 7z.exe und 7zG.exe) haben einen Schutzmechanismus namens ASLR nicht implementiert. Die Adress Space Layout Randomization verhindert normalerweise das Auslösen eines Speicherfehlers. Angreifer könnten hier im Zuge der Decodierung eines Archives (beispielsweise .7zip) ansetzen und einen Speicherfehler gezielt auslösen. Dies führt in der Regel dazu, dass ein Angreifer Schadcode ausführen kann – und das in diesem Fall mit den Rechten des Opfers.
Der genaue Ablauf eines Übergriffs ist derzeit nicht bekannt. Adress Space Layout Randomization (ASLR) ist eine gängige Methode um Pufferüberläufe zu erschweren und damit derartige Angriff zu verhindern.
Aufgepasst vor falscher 7-Zip-Seite
Sucht man den Begriff „7-Zip“ bei Google, so wird als erstes Ergebnis die Seite 7-zip.de vorgeschlagen. Dabei handelt es sich jedoch nicht um die originale Webseite des Programms. Diese ist unter 7-zip.org zu erreichen. Inwieweit die Kopie mit dem Original in Verbindung steht, ist unbekannt. Daher ist der Download des Programms aus dieser Quelle nicht vertrauenswürdig und wird abgeraten.
test