![](\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2015\/01\/Schutz.jpg\")
Die n\u00e4chste Sicherheitsl\u00fccke mit dem Namen 'Zip Slip' wurde gerade von Sicherheitsforschern aufgedeckt. Die Schwachstelle findet sich in vielen Open Source-Projekten, von JAVA bis hin zu Packprogrammen. Selbst .NET oder JavaScript sind betroffen und als Anwender kommt man nicht daran vorbei. Hier einige Informationen samt Einsch\u00e4tzungen eines Infosec-Sicherheitsforschers.<\/p>\n
<\/p>\n
Die Sicherheitsl\u00fccke betrifft Tausende von Projekten, darunter Projekte von HP, Amazon, Apache, Pivotal und vielen anderen, die sich verwundbarer Bibliotheken zum Packen bedienen. Betroffen sind auch Eco-Systeme wie JavaScript, Ruby, .NET und Go, sowie das bereits erw\u00e4hnt Java. Bei .NET ist wohl nur die NuGet DotNetZip betroffen (Microsofts .NET-Frameworks sind nach bisherigem Wissen sicher). Bei JAVA hat Oracle die betroffene Datei java.util.zip aktualisiert. Es scheint, als ob viele Software-Entwickler z\u00fcgig reagieren.<\/p>\n Die CVEs und eine vollst\u00e4ndige Liste der betroffenen Projekte gibt es hier<\/a>. Zwar gab es diese Art von Verwundbarkeit schon fr\u00fcher. Aber in letzter Zeit hat sich das Problem in einer viel gr\u00f6\u00dferen Anzahl von Projekten und Bibliotheken manifestiert. Hintergrund ist, dass viele Entwickler auf die Verwendung handcodierter Entpackroutinen verzichten und eher auf Packer-Bibliotheken setzen. Enth\u00e4lt eine Bibliothek einen Fehler, sind gleich zig Projekte betroffen.<\/p>\n Die Sicherheitsl\u00fccke ist mit Hilfe eines speziell erstellten Archivs ausnutzbar. Dazu muss das zu entpackende Archiv Verzeichnis-Traversal-Dateinamen enthalten (z.B. ..\/..\/evil.sh). Das f\u00fchrt dann dazu, dass der Entpacker aus dem Tritt kommt und dazu gebracht werden kann, andere (System-)Dateien zu \u00fcberschreiben. Zum \u00dcberschreiben von Systemdateien sind nat\u00fcrlich entsprechende Privilegien erforderlich. Hier muss man halt schauen, ob und wann Entpacker diese Privilegien haben (unter Windows kann man das verhindern, auf Webservern k\u00f6nnte das aber zum Problem werden).<\/p>\n Eine Remote-Code-Ausf\u00fchrung wird so m\u00f6glich. In einem White-Paper<\/a> wird die Sicherheitsl\u00fccke detaillierter beschrieben. Und auf GitHub<\/a> gibt es vorbereitete Archive, die die Schwachstelle ausnutzen und f\u00fcr Testzwecke verwendet werden k\u00f6nnen. Die Zip-Slip-Schwachstelle kann zahlreiche Archivformate betreffen, darunter tar, jar, war, cpio, apk, rar und 7z.<\/p>\n Aktuell gibt es (f\u00fcr Endanwender) keine Gegenma\u00dfnahme, au\u00dfer darauf zu hoffen, dass die Entwickler auf nicht angreifbare Bibliotheken in Softwareprojekten zu setzen.Sobald die Entwickler angreifbare Bibliotheken aktualisiert haben, ist das Problem durch Aktualisierung der betreffenden Anwendung gel\u00f6st.\u00a0Jake Williams<\/a> gibt folgende Empfehlungen bzw. Hinweise:<\/p>\n Es gibt sicherlich noch andere Angriffsfl\u00e4chen f\u00fcr Zip Slip. Aber die beiden prim\u00e4ren Angriffsfl\u00e4chen, die man bei Rendition Infosec sieht sind: Web-Anwendungen, die es Benutzern (insbesondere nicht authentifizierten Benutzern) erm\u00f6glichen, komprimierte Dateien hochzuladen, die vom Server verarbeitet werden. Und Mail-Gateways (z.B. Spam, DLP, etc.) Server, die komprimierte Dateien von unbekannten Absendern verarbeiten.<\/p>\n Sowohl Bleeping Computer<\/a> als heise.de<\/a>, als auch Golem<\/a> haben dar\u00fcber berichtet. Dort lassen sich ggf. noch einige Hinweise finden. Konkrete Angriffe sind zur Zeit keine bekannt. Aber es wird klar: Wir sitzen IT-m\u00e4\u00dfig auf einem Flickenteppich, l\u00f6chrig wie ein Schweizer K\u00e4se. Meltdown, Spectre V2 bis V4, alles ungepatchte Schwachstellen und t\u00e4glich kommen weitere L\u00fccken hinzu.<\/p>\n \u00c4hnliche Artikel:<\/strong> Die n\u00e4chste Sicherheitsl\u00fccke mit dem Namen 'Zip Slip' wurde gerade von Sicherheitsforschern aufgedeckt. Die Schwachstelle findet sich in vielen Open Source-Projekten, von JAVA bis hin zu Packprogrammen. Selbst .NET oder JavaScript sind betroffen und als Anwender kommt man nicht daran … Weiterlesen Ich hatte es auf Twitter, u.a. von Jake Williams<\/a> gelesen<\/a>. Die Sicherheitsl\u00fccke wurde hier<\/a> vom Snyk-Sicherheitsteam zum 5. Juni 2018 offen gelegt. Zip Slip erm\u00f6glicht es willk\u00fcrlich Dateien zu \u00fcberschreiben. Da dies zu einer Remote Code-Ausf\u00fchrung f\u00fchren kann (z.B. wenn eine kompromittierte Archivdatei entpackt wird), wird diese Schwachstelle als kritisch eingestuft.<\/p>\n
Tausende an Projekten \u00fcber Packer-Bibliotheken betroffen<\/h2>\n
Sicherheitsl\u00fccke beim Entpacken ausnutzbar<\/h2>\n
Gegenma\u00dfnahmen? Schwierig<\/h2>\n
\n
\nWarnung: Auf 7-Zip verzichten<\/a>
\nSicherheitsl\u00fccken in InfoZips UnZip-Programm<\/a>
\n7-ZIP Version 18.05 ver\u00f6ffentlicht<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"