Die ehrwürdige Shareware-Archivierungs-App WinRAR wurde kürzlich gepatcht, um einen alarmierenden Fehler zu beheben. Das Update auf WinRAR Version 6.23, gesichtet von Bleeping Computer, behebt die Schwachstelle mit hohem Schweregrad CVE-2023-40477. Kurz gesagt, frühere Versionen von WinRAR waren Vektoren zum Ausführen eines Programms (Ausführung willkürlichen Codes), wenn ein Angreifer den Benutzer dazu verleiten konnte, eine speziell gestaltete RAR-Datei zu öffnen.
Wenn wir uns die Beschreibung des inzwischen behobenen WinRAR-Fehlers durch die Zero Day Initiative ansehen, erklärt sie Folgendes:
- Die Sicherheitslücke ermöglichte es entfernten Angreifern, beliebigen Code auszuführen.
- Der Fehler lag an der Handhabung von Wiederherstellungsvolumes durch das Programm.
- Der Fehler entstand durch die unsachgemäße Validierung der vom Benutzer bereitgestellten Daten durch die Anwendung.
- Dies bedeutete, dass Hacker für ihre heimtückischen Taten über das Ende des zugewiesenen Puffers hinaus auf den Speicher zugreifen konnten, aber…
- Wichtig ist, dass ein Benutzer eine getarnte bösartige Seite besuchen oder eine Datei öffnen muss, um Opfer von Hackern zu werden.
Dem Sicherheitsforscher „goodbyeselene“ wird die Entdeckung des in CVE-2023-40477 beschriebenen WinRAR-Fehlers zugeschrieben. Sie meldeten die Schwachstelle Anfang Juni den WinRAR-Entwicklern. Die Nachricht über den Fehler wurde veröffentlicht (17. August), einige Tage nachdem Version 6.23 für Benutzer zum Herunterladen verfügbar gemacht wurde (2. August), sodass die Benutzer genügend Zeit für die Aktualisierung hatten.
In den Versionshinweisen zu WinRAR v6.23 sehen wir, dass CVE-2023-40477 wie folgt beschrieben wird: „Ein Sicherheitsproblem beim Schreiben außerhalb der Grenzen wurde im Verarbeitungscode für RAR4-Wiederherstellungsvolumes behoben.“ Es sieht jedoch nicht so aus, als wäre dies die einzige behobene Schwachstelle gewesen, da Version 6.23 auch so gesteuert werden konnte, dass sie „eine falsche Datei startet“, nachdem ein Benutzer auf ein Element in einem speziell gestalteten Archiv doppelgeklickt hatte.
Ist WinRAR dem Untergang geweiht?
Bereits im Mai berichteten wir über die Nachricht, dass Windows in einem zukünftigen Update native RAR-Unterstützung hinzufügen würde – ähnlich wie es derzeit mit .zip-Dateien umgeht. Diese Erweiterung des Windows 11-Datei-Explorers wird durch die Einbindung eines Open-Source-Projekts bereitgestellt libarchive. Mit der libarchive-Integration sollte Windows in der Lage sein, viele weitere Archive wie die Formate lha, pax, tar, tgz und 7z zu (de)komprimieren. Obwohl Entwickler/Tester jetzt mit der nativen RAR-Unterstützung experimentieren können, wird erwartet, dass sie erst ab nächsten Monat für den Massenkonsum verfügbar sein wird.
WinRAR hat eine gesetzt tapferes Gesicht darauf, dass Windows 11 bald integrierte Unterstützung für dieses beliebte Archivierungsformat erhalten wird. Natürlich wird ein in Windows integriertes RAR-Archiv-Kontextmenü eine voll ausgestattete App wie WinRAR und alle seine Archivverarbeitungsoptionen nicht ersetzen.