{"id":214996,"date":"2019-02-21T13:47:48","date_gmt":"2019-02-21T12:47:48","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=214996"},"modified":"2024-08-12T13:24:47","modified_gmt":"2024-08-12T11:24:47","slug":"schwachstelle-in-unacev2-dll-gefhrdet-winrar-co","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2019\/02\/21\/schwachstelle-in-unacev2-dll-gefhrdet-winrar-co\/","title":{"rendered":"Schwachstelle in UNACEV2.DLL gefährdet WinRAR & Co."},"content":{"rendered":"

[English<\/a>]Eine Jahrzehnte alte Code-Execution-Schwachstelle in einer, u.a. von WinRAR genutzten Bibliotheksdatei UNACEV2.DLL gef\u00e4hrdet Millionen Nutzer, die Software einsetzen, die diese Komponente unter Windows verwendet. Es ist Handeln angesagt.<\/p>\n

<\/p>\n

\"\"Ich hatte das Thema die Nacht bereits im Beitrag Nasty code-execution bug in WinRAR threatened millions of users for 14 years<\/a> gesehen, aber noch keine Zeit, das aufzubereiten. Inzwischen hat Blog-Leser Bolko in diesen Kommentaren<\/a> (danke daf\u00fcr) noch einiges an Informationen nachgelegt.<\/p>\n

Path Traversal-Schwachstelle in UNACEV2.DLL<\/h2>\n

Sicherheitsforscher von Check Point Software haben die Schwachstelle in UNACEV2.DLL entdeckt und am 19. Februar 2019 im Beitrag Extracting a 19 Year Old Code Execution from WinRAR<\/a> \u00f6ffentlich gemacht. Hintergrund war, dass die Sicherheitsforscher das Produkt WinRAR einer Sicherheits\u00fcberpr\u00fcfung unterziehen wollten. WinRAR wird ja zum Entpacken verschiedener Archivformate benutzt und ist recht popul\u00e4r.<\/p>\n

\"WinRAR\"
\n(WinRAR, Quelle: CheckPoint)<\/p>\n

Solche Entpackprogramme fallen ja immer wieder auf, wenn Schwachstellen in den Entpacker-Routinen zur Code-Ausf\u00fchrung missbraucht werden k\u00f6nnen. Im Laufe der Untersuchung der WinRAR-Komponenten gelang es den Sicherheitsforschern, eine Path Traversal-Schwachstelle in UNACEV2.DLL aufzudecken. Diese Bibliothek wird zum Entpacken von Archiven im ACE-Format verwendet.<\/p>\n

Zun\u00e4chst hatten die Sicherheitsforscher Schwierigkeiten herauszufinden, wie man die Schwachstelle zur Code-Ausf\u00fchrung missbrauchen kann. Die offensichtlichste Idee war es, eine ausf\u00fchrbare Datei in einem ACE-Archiv durch WinRAR in den Windows-Startordner extrahieren zu lassen. Dann f\u00fchrt Windows diese mit dem n\u00e4chsten Neustart aus.<\/p>\n

Die in UNACEV2.DLL gefundene Absolute Path Traversal-Schwachstelle erm\u00f6glicht es, den Zielordner vorzugeben, unabh\u00e4ngig davon, welchen Zielordner der Nutzer zum Entpacken gew\u00e4hlt hat. Die Bibiliotheksdatei UNACEV2.DLL stammt von einem Drittanbieter und wurde seit 2005 nicht mehr aktualisiert. Diese alte DLL nutzt auch keine Techniken zur Schwachstellenminderungen wie die Zufallsgenerierung des Adressraumlayouts (address space layout randomization, ASLR).<\/p>\n

(Quelle: CheckPoint<\/a>\/YouTube)<\/p>\n

WinRAR hat reagiert<\/h2>\n

Laut CheckPoint<\/a> haben die Entwicker von WinRAR recht schnell reagiert und die Bibliotheksdatei UNACEV2.dll zur Unterst\u00fctzung des ACE-Formats in WinRAR 5.70 Beta 1 entfernt. Auf der WinRAR-Webseite<\/a> findet sich ein entsprechender Hinweis.<\/p>\n

Nadav Grossman from Check Point Software Technologies informed us about a security vulnerability in UNACEV2.DLL library. Aforementioned vulnerability makes possible to create files in arbitrary folders inside or outside of destination folder when unpacking ACE archives.<\/p>\n

WinRAR used this third party library to unpack ACE archives. UNACEV2.DLL had not been updated since 2005 and we do not have access to its source code. So we decided to drop ACE archive format support to protect security of WinRAR users.<\/p><\/blockquote>\n

Wenn WinRAR also in einer neuen Version unter Windows eingesetzt wird und die UNACEV2.DLL entfernt wurde, sollte die Schwachstelle behoben sein.<\/p>\n

Verschiedene Software betroffen, man muss reagieren<\/h2>\n

Nun muss man wissen, dass die Bibliotheksdatei UNACEV2.DLL von zahlreichen Windows-Programmen (xnView 2.47, PE Builder 3.1.10a etc.) eingesetzt wird. Wenn deren Entwickler diese DLL nicht entfernt haben, ist die Schwachstelle vorhanden. Blog-Leser Bolko hat in diesem Kommentar<\/a> auf diesen Sachverhalt hingewiesen. Zitat:<\/p>\n

Heimt\u00fcckisch: Falls die ACE-Archive in RAR oder ZIP umbenannt werden, dann werden die trotzdem ausgepackt, wenn die unacev2.dll im Programmordner des Entpackers oder irgendwo sonst im Pfad des Systems vorhanden ist und dann k\u00f6nnen die Sch\u00e4dlings-exe-Dateien im Autostart landen.<\/p><\/blockquote>\n

Es hei\u00dft also f\u00fcr Windows-Nutzer, im Explorer \u00fcber die vorhandenen Datenspeicher eine Suche nach der Bibliotheksdatei UNACEV2.DLL durchf\u00fchren. Wird die Datei gefunden, sollte sie gel\u00f6scht werden. Allerdings wird die betreffende Software danach nicht mehr funktionieren. Davon d\u00fcrften auch Antivirus-Software betroffen sein. Man muss also kl\u00e4ren, ob es aktualisierte Fassungen ohne die DLL gibt.<\/p>\n

\u00c4hnliche Artikel:<\/strong>
\nWarnung: Auf 7-Zip verzichten<\/a>
\nSicherheitsl\u00fccke Zip Slip aufgedeckt<\/a>
\nSicherheitsl\u00fccken in InfoZips UnZip-Programm<\/a>
\n7-Zip Version 18.6 freigegeben<\/a>
\nF-Secure Sicherheitsupdates f\u00fcr 7-Zip-Schwachstellen<\/a>
\nWindows: Merkw\u00fcrdige ZIP-Handhabung im Explorer<\/a>
\nWindows 10 V1809: Update KB4464455 fixt ZIP-Bug<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"

[English]Eine Jahrzehnte alte Code-Execution-Schwachstelle in einer, u.a. von WinRAR genutzten Bibliotheksdatei UNACEV2.DLL gef\u00e4hrdet Millionen Nutzer, die Software einsetzen, die diese Komponente unter Windows verwendet. Es ist Handeln angesagt.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426,301],"tags":[4328,7453,1206],"class_list":["post-214996","post","type-post","status-publish","format-standard","hentry","category-sicherheit","category-windows","tag-sicherheit","tag-unacev2-dll","tag-winrar"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/214996","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=214996"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/214996\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=214996"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=214996"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=214996"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}