Directory Traversal und Pufferüberlauf in crypto/af_alg.c Uralte Schwachstellen in WinRAR und Linux

Zwei im Februar gefixte Sicherheitslücken haben erneut vor Augen geführt, wie lange Bugs mitunter von der Allgemeinheit unentdeckt in Softwareprogrammen schlummern – und das selbst in Open Source Software.

Anbieter zum Thema

Moxa Europe GmbH

FTAPI Software GmbH

TXOne Networks

Manche Dinge haben selbst in der kurzatmigen IT-Welt länger Bestand als einem lieb sein kann: Kritische Sicherheitslücken. Derer zwei wurden in den vergangenen Tagen geflickt, nachdem sie jahrelang und von der Allgemeinheit unentdeckt im Programmcode schlummerten – und von Angreifern für schwerwiegende Attacken hätten ausgenutzt werden können.

Bug bleibt fast zwei Jahrzehnte unentdeckt

Über mehr als 19 Jahre hinweg schleppte beispielsweise das Packprogramm WinRAR eine Schwachstelle mit sich herum, über die Gauner Schadecode auf fremde Rechner hätten schleusen können. Entdeckt wurde der „Absolute Path Traversal“ vom Sicherheitsteam des Anbieters Check Point Software – und das offenbar schon im Vorjahr, worauf die Kennungen CVE-2018-20250, CVE-2018-20251, CVE-2018-20252 sowie CVE-2018-20253 hinweisen.

Im Unternehmensblog beschreibt der für Check Point Research tätige Nadav Grossman detailliert, wie man die Lücke aufgespürt hat. Startpunkt waren dabei Fuzzing-Versuche – also das Testen von Software mit zufälligen Eingaben. Dabei erkannten die Forscher Unregelmäßigkeiten in der von WinRAR genutzten Bibliothek unacev2.dll eines Drittanbieters; diese ist für den Umgang mit Dateien im ACE-Format zuständig.

Nach einer systematischen Analyse gelang es den Forschern schließlich Dateien in einem Startup-Ordner von Windows abzulegen – ohne den jeweils gültigen Benutzernamen zu kennen. Auf diesem Wege hätten Angreifer Schadcode auf Rechner bringen können, der beim nächsten Systemstart ausgeführt worden wäre. Auf gleichem Wege hätten sich übrigens auch Dateien auf SMB-Shares (Server Message Block) im Netzwerk ablegen lassen.

Weil WinRAR Dateien anhand ihres Inhaltes identifiziert – und nicht per Erweiterung – hätten Angreifer ihre manipulierten Archive übrigens auch mit der Extension RAR tarnen können.

Der Anbieter von WinRAR hat bereits reagiert und mit Version 5.70 der Software die Unterstützung von ACE komplett gestrichen. Als Begründung für den vergleichsweise drastisch anmutenden Schritt heißt es in den Release Notes: Man habe keinen Zugriff auf den Quellcode der seit 2005 nicht mehr aktualisieren Datei unacev2.dll.

Linux seit 2006 verwundbar

Seit 20. September 2006 verbarg sich überdies im Linux-Kernel eine als CVE-2019-8912 verzeichnete, kritische Schwachstelle – damals wurde Version 2.6.18 veröffentlicht. Seither und bis zu Version 4.20.10 war das Betriebssystem für Schadcode anfällig, der im Kernel-Kontext hätte ausgeführt werden können. Fehlgeschlagene Angriffe hätten zudem Serviceausfälle provozieren können (DoS).

Ursache für das seit 15. Februar allgemein bekannte Szenario ist laut VULDB ein möglicher Pufferüberlauf in der Datei crypto/af_alg.c. Mit der aktuellen Version 4.20.12 des Linux-Kernels sollte das Problem nun behoben sein.

(ID:45770447)