Vorsicht beim Entpacken von ACE-Archiven: Sie können Dateien an beliebige Orte des Systems schreiben - und damit auch Code ausführen. Ein stabiles Update von Winrar wurde noch nicht veröffentlicht.

Bereits seit 19 Jahren soll eine Sicherheitslücke in dem Packprogramm Winrar stecken. Die Lücke ermöglicht es, beim Entpacken eines Archivs Dateien an beliebigen Orten zu speichern - und damit auch Code auszuführen. Entdeckt wurde die Lücke von der Sicherheitsfirma Checkpoint. Winrar wird nach Angaben des Herstellers weltweit von mehr als 500 Millionen Nutzern verwendet.

Die Sicherheitsforscher hatten die Software mit einem Fuzzing-Tool bearbeitet, mit welchem eine Software mit zufälligen Daten gefüttert wird. Dabei entdeckten sie mehrere Sicherheitslücken, darunter eine Path-Traversal-Attacke. Mit dieser kann der Zielordner der zu entzippenden Datei geändert werden. Entpackt ein Opfer ein präpariertes ACE-Archiv, kann ein Angreifer beliebige Dateien an beliebige Orte entpacken, auf die der Nutzer Schreibzugriff hat. Beispielsweise können Dateien in den Windows-Autostart geschrieben werden und so beim nächsten Nutzerlogin Software ausgeführt werden. So lässt sich beispielsweise ein Trojaner oder eine Ransomware auf einem System platzieren.

Winrar verabschiedet sich von ACE
Die Winrar-Entwickler hatten ACE über die proprietäre Bibliothek unacev2.dll eingebunden, die nach Angaben der Entwickler seit 2005 kein Update mehr erhalten hat. Auf den Quellcode der Bibliothek haben sie keinen Zugriff, sie können die Lücke entsprechend nicht fixen.

In Version 5.70 beta 1 haben sie die Bibliothek und damit den Support für ACE-Archive kurzerhand entfernt. Die aktuelle stabile Version ist von der Sicherheitslücke wohl weiterhin betroffen. Das Gleiche dürfte für andere Programme gelten, die auf die Bibliothek setzen.

Nachstehende Links zu gestern erschienenen Beta-Versionen 5.70 bei ComputerBase

für_Windows

für_Linux_und_macOS