IT-Sicherheitsforscher haben eine erhebliche Sicherheitslücke im Packprogramm Winzip aufgedeckt. Diese Schwachstelle erlaubt es Angreifern » manipulierte Archive zu erstellen « mit denen sie bösartigen Schadcode an die Opfer weiterreichen. Bei der Öffnung einer präparierten Webseite oder eines entsprechenden Archivs können sie so beliebigen Code im System des Opfers ausführen.
Entdeckung und Ursachen der Lücke
Das Team der Trend Micros Zero-Day-Initiative (ZDI) entdeckte die Sicherheitsanfälligkeit und gab eine detaillierte Sicherheitsmitteilung heraus. Das Problem liegt in der Verarbeitung von 7-Zip-Dateien (7z). Wie die IT-Forscher erklären, resultiert das Problem aus einer mangelnden Überprüfung der Nutzereingaben. Dadurch sind Schreibzugriffe über den ursprünglich allokierten Speicherbereich hinaus möglich.
Risiko & Schweregrad
„Angreifer können die Schwachstelle ausnutzen um beliebigen Code im Kontext des aktuellen Prozesses auszuführen“, informiert das ZDI-Team weiter. Der CVE-Eintrag für diese Lücke lautet CVE-2025-1240 und weist einen CVSS-Wert von 7.8 auf. Dies entspricht einem hohen Risiko. Die Lücke wurde im vergangenen September entdeckt und wurde erst vor wenigen Tagen öffentlich kommuniziert.
Lösung durch Update
Die neueste Version 29.0 von Winzip beseitigt diese Schwachstelle. In den Release-Notes der Entwickler stehen jedoch keine spezifischen Hinweise auf Sicherheitskorrekturen. Stattdessen beinhalten sie aktualisierte RAR- und 7-Zip-Bibliotheken. Auf der Download-Seite von Winzip sind die aktualisierten Pakete verfügbar. Benutzer die den Update-Notifier nicht verwenden oder deaktiviert haben und weiterhin eine ältere Version besitzen, sollten dringend auf die neue Version umsteigen.
Zusammenhang mit anderen Sicherheitslücken
Ende November 2023 wurden ähnlich wie Sicherheitslücken in 7-Zip bekannt, durch die Angreifer Schadcode aus dem Netz einschleusen und ausführen konnten. Diese Problematik betraf indes die Verarbeitung von Archiven im Zstandard-Format, das hauptsächlich unter Linux genutzt wird.
Zusammenfassend sollten alle Anwender von Winzip ihre Software auf die neueste Version aktualisieren um sich vor potenziellen Angriffen zu schützen.
Kommentare