Gravierende Sicherheitslücken im Packprogramm 7-Zip

Im freien Archivierungsprogramm 7-Zip stecken zwei gravierende Sicherheitslücken. Darauf haben Marcin Noga und Jaeson Schultz von Ciscos Security Intelligence and Research Group Talos hingewiesen. Den beiden Sicherheitsforschern zufolge könnten die Schwachstellen in den 7-Zip-Bibliotheken auch dazu führen, dass “Sicherheitsgeräte oder Antivirenprodukte” sowie andere Software anfällig ist.

Grund dafür ist, dass 7-Zip nicht nur von Hunderttausenden von Anwendern eingesetzt, sondern auch von Drittanbieter und Entwickler häufig in ihre Produkte integriert wird. Sie schätzen an dem Open-Source-Packprogramm mit optionaler AES-256-Bit-Verschlüsselung, den Support für große Dateien und die Möglichkeit, jegliche Kompressions-, Konvertierungs- und Verschlüsselungsmethode zu nutzen.

“Leider resultieren viele Sicherheitslücken in Anwendungen daraus, dass sie ihre Eingabedaten nicht ordentlich validieren. Beide 7-Zip-Schwachstellen gehen auf eine fehlerhafte Eingabeprüfung zurück”, erklärt Noga. “Weil Daten aus einer möglicherweise nicht vertrauenswürdigen Quelle stammen, ist die Überprüfung der Eingabedaten von entscheidender Bedeutung für die Sicherheit von Applikationen.”

Die erste, von Marcin Noga entdeckten Schwachstelle mit der Kennung CVE-2016-2335, ist eine sogenannte Out-of-Bounds-Lücke im Zusammenhang mit der Verarbeitung von Dateien im Universal Disk Format (UDF). Der Lesevorgang durch den Partitionstabellen zum Auffinden von Objekten im Dateisystem gescannt werden, lässt sich aufgrund einer unzureichenden Überprüfung theoretisch auf nicht vorgesehene Bereiche ausweiten. Angreifer könnten dies für eine Denial-of-Service-Attacke missbrauchen oder Malware auszuführen.

Die zweite Lücke hat die Kennung CVE-2016-2334 erhalten. Dabei handelt es sich um eine Heap-Overflow-Schwachstelle. Im HFS+-Dateisystem der Software können Dateien in einem komprimierten Format gespeichert werden. Diese Information wird – je nach Größe der Datei – auch in Blöcken abgelegt. Auch hier fehlt Überprüfung, ob die Blockgröße die des Software-Puffers übersteigt. Das führt zu dem Pufferüberlauf-Problem, das dann zum Ausführen von Schadcode ausnutzen lässt.

In der seit Dienstag verfügbaren Version 16.00 des Kompressionsprogramms sind die nun offengelegten Lücken nicht mehr enthalten. Alle Vorgängerversionen sind jedoch anfällig. Sowohl Endverbraucher als auch für Firmen und Entwickler, die die 7-Zip-Funktionen in ihre Produkte integriert haben, sollten sie daher umgehend aktualisieren.

[mit Material von Björn Greif, ZDNet.de]

Tipp: Wie gut kennen Sie sich mit Open Source aus? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de