Kürzlich wurde festgestellt, dass die bekannte Open-Source-Dekomprimierungssoftware 7-Zip eine hochriskante Sicherheitslücke aufweist. Ein Angreifer kann aus der Ferne bösartigen Code auf dem System des Opfers ausführen, indem er einfach Benutzer dazu verleitet, eine sorgfältig erstellte bösartige komprimierte Datei zu öffnen. Da 7-Zip lange Zeit über keinen automatischen Update-Mechanismus verfügt, müssen Benutzer und Systemadministratoren die neueste Version manuell herunterladen und installieren, um diese Schwachstelle zu beheben.
Nach Angaben des „Zero-Day Project“ der Sicherheitsagentur Trend Micro wurde die Schwachstelle als CVE-2026-14266 verfolgt und ist im Wesentlichen eine Heap-basierte Pufferüberlauf-Schwachstelle. Wenn die Software einen bestimmten XZ-komprimierten Datenstrom verarbeitet und auf ein speziell gefälschtes komprimiertes Paket stößt, führt dies zu einem Überlauf und öffnet so einen Kanal für den Angreifer, um beliebigen Code auszuführen. Das Opfer muss lediglich die Webseite besuchen, die die Bedrohung enthält, oder das betreffende Archiv öffnen, und schon erhält der entsprechende Code dieselben Berechtigungen wie der aktuell angemeldete Benutzer und kann ihn ausführen.
Die Schwachstelle wurde dem 7-Zip-Entwicklungsteam ursprünglich Anfang Juni dieses Jahres vom Lunbun-Forscher Landon Peng gemeldet. Mit den Bemühungen aller Beteiligten brachte das 7-Zip-Team innerhalb weniger Wochen schnell die Version 26.02 auf den Markt, um die Sicherheitslücke zu schließen. Allerdings waren die spezifischen technischen Details der Schwachstelle erst vor Kurzem bekannt, als ZDI ein Sicherheitsbulletin veröffentlichte. Da 7-Zip weitgehend plattformübergreifend ist und auf mehreren Betriebssystemen wie Windows, Linux, macOS und BSD läuft, sind die Auswirkungen dieser Sicherheitslücke nicht auf die traditionelle Windows-Benutzergruppe beschränkt.
Als beliebtes, leichtes Archivierungstool verfügt 7-Zip nicht über eine integrierte automatische Update-Infrastruktur, um eine extreme Einfachheit zu gewährleisten. Das unterstützte .xz-Format ist selbst ein Container für komprimierte Streams, der aus dem LZMA-Komprimierungsalgorithmus hervorgegangen ist, der zuvor vom 7-Zip-Entwickler Igor Pavlov entwickelt wurde. Da diese Software sowohl auf Verbraucher- als auch auf Serverseite weit verbreitet ist, verlassen sich viele Systeme und Befehlszeilentools darauf, um kostenlose Dekomprimierungsunterstützung für mehrere Formate bereitzustellen. Diese hohe Popularität hat es auch zu einem wichtigen Ziel für Cyberkriminelle und Sicherheitsforscher gemacht. Sicherheitsexperten weisen darauf hin, dass Benutzer bei solchen Schlüsseltools ohne automatische Aktualisierungsfunktionen äußerst wachsam bleiben und Versionsaktualisierungen rechtzeitig manuell nachverfolgen müssen, um zu verhindern, dass sich eine einzelne nicht behobene Schwachstelle zu einem größeren Sicherheitsvorfall im System entwickelt.
Erfahren Sie mehr:
https://www.zerodayinitiative.com/advisories/ZDI-26-444/