Micropatch für die UNACEV2.DLL-Schwachstelle

Kleiner Hinweis für Leute, die Entpacker wie WinRAR einsetzen und auf das ACE-Format angewiesen sind oder die entdeckte Schwachstelle (CVE-2018-20250) in UNACEV2.DLL nicht beheben können. Es gibt einen Mikro-Patch zum Fixen der Schwachstelle.

Ich hatte über die betreffende Sicherheitslücke (CVE-2018-20250) in der Datei UNACEV2.DLL, die von diversen Programmen wie WinRAR benutzt wird, im Blog-Beitrag Schwachstelle in UNACEV2.DLL gefährdet WinRAR & Co. berichtet. In WinRAR haben die Entwickler die Bibliothek kurz entschlossen raus geworfen und verzichten in der neuen WinRAR-Version auf den ACE-Support. Hintergrund ist, dass die Entwickler bei RARLAB nicht den Quellcode für die betroffene DLL hat. Man hat sich daher entschieden, die DLL aus seinem Produkt zu entfernen

Bei Virenscannern oder Anwendungen, die Archive im ACE-Format entpacken müssen, gibt es damit aber ein Sicherheitsproblem. Man kann die DLL nicht entfernen, ist unter Windows aber angreifbar. Die Leute von 0patch haben mich zum Wochenende angemailt:

Ich habe Ihren Artikel über die aktuelle WinRAR-Schwachstelle im Zusammenhang mit ACE-Dateien gesehen und dachte, Sie könnten auch daran interessiert sein, dass RARLAB zwar nicht den Quellcode für die betroffene DLL hat und sich daher entschieden hat, sie aus seinem Produkt zu entfernen.

Wir bei 0patch haben aber die Schwachstelle [durch einen] Micropatch [geschlossen]. Mit diesem kostenlosen Micropatch können Benutzer, die WinRAR nicht aktualisieren wollen oder nicht einmal wissen, dass es eine Schwachstelle gibt, die Schwachstelle so schließen, dass sie nicht mehr ausgenutzt werden kann.

Das trifft natürlich auch auf alle Software zu, die die betreffende DLL verwendet. Details zum Sachverhalt sowie zum Micropatch finden sich auf dieser Blog-Seite von 0patch.