Achtung: Das InfoZip UnZip-Programm weist Sicherheitslücken auf

UnZip von InfoZip wird wohl sehr breit auf *nix-Betriebssystemen, sowie unter OpenVMS zum Packen und Extrahieren von Archivdateien verwendet. Im Programm UnZip des Anbieters InfoZip gibt es mehrere Sicherheitslücken durch Pufferüberläufe.

Was ist UnZip?

Auf der Info-Zip-Seite wird UnZip als das ‘The Third Most Portable Program in the World!’ vorgestellt. UnZip ist ein Extraktionsprogramm für Archive, die im .zip-Format komprimiert sind. Das Programm ist mit PKWAREs PKZIP- und PKUNZIP-Dienstprogrammen für MS-DOS als auch mit Info-ZIPs eigenem Zip-Programm kompatibel. Aber der Fokus liegt bei UnZip in erster Linie auf der Portabilität und Nicht-MSDOS-Funktionalität. Das Programm steht auch für OpenVMS oder andere Betriebssysteme zur Verfügung. UnZip von InfoZip wird als Standard-Dienstprogramm zum Entpacken von ZIP-Archiven auf fast allen *nix-Systemen verwendet. Es wird zudem mit vielen handelsüblichen Produkten auf dem Markt ausgeliefert.

Das Problem mit Packern wie UnZip

Leider bauen die gängigen Packprogramme auf altem Code auf und enthalten Sicherheitslücken. Diese können von Malware beim Entpacken ausgenutzt werden, um Pufferüberläufe auszulösen. Diese Pufferüberläufe ermöglichen dann Angreifern u.U. Informationen Informationen abzurufen oder Schadcode auszuführen.

Kürzlich hatte ich im Artikel Sicherheitsrisiko: Die Krux mit 7-Zip auf administrator.de auf das Thema im Zusammenhang mit 7-Zip und Sicherheitslücken hingewiesen.

InfoZip UnZip-Programm weist mehrere Sicherheitslücken auf

Auf seclists.org findet sich dieser Eintrag von Anfang Februar 2018, der gleich mehrere Sicherheitsprobleme im Programm anspricht. In den UnZip-Versionen kleiner 6.00 und in den UnZip-Versionen unter 6.1c22 gibt es die Sicherheitslücken CVE-2018-1000031, CVE-2018-1000032, CVE-2018-1000033, CVE-2018-1000034 und CVE-2018-1000035. Um diese Sicherheitslücke auszunutzen, reicht es aus, ein manipuliertes ZIP-Archiv zu entpacken.

Die Sicherheitsbeeinträchtigung durch diese Fehler wird als hoch eingestuft. Die Bugs sollen zwar in der Version 6.10c23 behoben sein. UnZip wird aber auf vielen älteren Systemen oder auf exotischen Architekturen eingesetzt. Dort werden noch alte Versionen eingesetzt und Schutzmaßnahmen auf Compiler-/Linkerebene zum Abschwächen unerkannter Sicherheitslücken sind nicht vorhanden

Auch in den im Internet zum Download bereitgestellten, vorkompilierten, Binärdateien fehlt ein Schutz gegen Sicherheitslücken. Diese, zum Download angebotenen, Binärdateien stammen aus dem Jahr 2009. Und Compiler haben einen Mitigation-Schutz über bestimmte Flags standardmäßig nicht aktiviert. Die benötigten Compiler-Flags sind auch nicht im Makefile von UnZip angegeben. Kompilierte Anwendungen sind daher nur dann geschützt, wenn dieser Schutz im der verwendete Compiler standardmäßig aktiviert ist (nur bei modernen Compilern der Fall). Falls also jemand mit UnZip arbeitet, sollte er diese Informationen berücksichtigen. (via)