7-Zip mit Sicherheitslücken – Update auf 18.01 empfohlen

Der beliebte Open-Source-Packer 7-Zip weißt zwei Sicherheitslücken auf, die offensichtlich alle Versionen älter als 18.x betreffen. Dave, der Entdecker beider Lücken, hat einen ausführlichen Blogartikel zu dieser Thematik veröffentlicht, in dem er alle Details offenlegt.

Die erste Sicherheitslücke betrifft die RAR-Implementierung von 7-Zip. Diese basiert größtenteils auf der aktuellen UnRAR-Version und lässt sich dazu nutzen, den Speicher zu kompromittieren (CVE-2018-5996). Diese Tatsache wird dadurch erleichtert, dass 7-Zip unter Windows bisher ohne ASLR läuft und DEP nur bei 64-Bit-Betriebssystemen (und Windows 10 32-Bit) aktiv ist. Durch setzen des Compiler-Flags /NXCOMPAT ist DEP ab 7-Zip 18.00 Beta aber permanent aktiviert. Die zweite Schwachstelle befindet sich im ZIP-Teil, genauer gesagt in der LZW-Shrink-Routine. Die Routine wurde im Jahr 2005 geschrieben und ist gegen Heap Buffer Overflow (CVE-2017-17969) anfällig.

Im kürzlich erschienenen 7-Zip 18.01 wurden beide Sicherheitslücken geschlossen. Viele Nutzer setzen noch auf die letzte finale Version 16.04. Wenn ihr auch dabei seit solltet ihr auf jeden Fall updaten!

Nachfolgend noch der Changelog im Vergleich zu 7-Zip 16.04.

• Minor speed optimization for LZMA2 (xz and 7z) multi-threading compression.
  • 7-Zip now uses additional memory buffers for multi-block LZMA2 compression.
  • CPU utilization was slightly improved.
• 7-zip now creates multi-block xz archives by default. Block size can be specified with -ms[Size]{m|g} switch.
• xz decoder now can unpack random block from multi-block xz archives.
  • 7-Zip File Manager now can open nested multi-block xz archives
    (for example, image.iso.xz) without full unpacking of xz archive.
• 7-Zip now can create zip archives from stdin to stdout.
• ZIP unpacking code was improved.
• 7-Zip now can unpack OBJ/COFF files.
• 7-Zip now can unpack DMG archives that use LZFSE compression method.
• 7-Zip now doesn’t allow update operation for archives that have read-only attribute.
• 7-Zip command line: @listfile now doesn’t work after — switch.
  • Use -i@listfile before — switch instead.
• new -sse switch to stop archive creating, if 7-Zip can’t open some input file.
• 7-Zip now reserves file space before writing to file (for extraction from archive).
  • It can reduce file fragmentation.
• Internal changes in code.
• The BUGs were fixed:
  • 7-Zip could add unrequired alternate file streams to WIM archives, for commands that contain filename wildcards and -sns switch.
  • Extracting from tar with -si switch didn’t set timestamps for directories.
• Some bugs were fixed. 7-Zip could crash in some cases.