7-zip kompromitiert

[michaa7]

Laut heise ist 7-zip kompromitiert [edit]. Es erlaubt das Einschleussen und Ausführen von Schadcode in UDF-Dateien. [/edit].Erst mit v16 ist die lücke gestopft. Die gibt es jedoch nichtmal in Debian/Sid.

[Lord_Carlos]

Relevant fuer die Leute die UDF and HFS+ isos aus nicht vertrauenswuerdigen Quellen oeffnen.

[MSfree]

Relevant fuer die Leute die UDF and HFS+ isos aus nicht vertrauenswuerdigen Quellen oeffnen.

Relevant für Leute, die 7z-Dateien öffnen, in denen sich ein UDF- und/oder HFS-ISO befindet.

[Lord_Carlos]

Oh, bist du dir da sicher?

During extraction from an HFS+ image,

Liest sich so als wenn sie direkt ein HFS+ image lesen.

[MSfree]

Oh, bist du dir da sicher?

During extraction from an HFS+ image,

Liest sich so als wenn sie direkt ein HFS+ image lesen.

7-zip kann Dateien rekursiv entpacken, also auch ein ZIP, das in einem ISO sitzt, das mit z7 gepackt wurde.

[Lord_Carlos]

Aber das siehst du denn ja, oder nicht? Ich meine dann waehlst du aktiv aus das ISO zu entpacken um an das ZIP zu kommen. Oder verstehe ich das jetzt was falsch?

[michaa7]

Sch....

Ich hatte gehofft, jemand würde antworten, der entscheidende patch wäre bereits in v15-dfsg_xy enthalten.

[MSfree]

Aber das siehst du denn ja, oder nicht? Ich meine dann waehlst du aktiv aus das ISO zu entpacken um an das ZIP zu kommen. Oder verstehe ich das jetzt was falsch?

Das verstehst du schon richtig. Aber, in dem Moment, in dem du das ISO-Image anklickst, um nachzusehen, was da drin steckt, kannst du schon kompromitiert werden.

Fraglich ist nur, ob Linux da überhaupt betroffen ist. Hirnverbrannte Konzepte wie Autostart von Executables in ISOs, gibt es ja eigentlich nicht und Schadsoftware im EXE-Format läuft (ohne Wine) auch nicht besonders erfolgreich unter Linux.

[KBDCALLS]

Laut heise ist 7-zip kompromitiert, erst mit v16 ist die lücke gestopft. Die gibt es jedoch nichtmal in Debian/Sid.

Der ist ja gerade mal 2 Tage alt. Und jeder packt mindestens 10 UDF Images am Tage aus . Sollte man als Otto Normalanwender nicht überbewerten. Für jemand der's bearbeiten muß siehts eventuell anders aus.

Achso fast vergessen.

Code: Alles auswählen

uscan  --report
uscan: Newest version of p7zip on remote site is 15.14.1, local version is 15.14.1+dfsg
 (mangled local version is 15.14.1)
matthias@tatjana:/usr/src/0210$ 

Und komplett 39295

[ralli]

Ich habe es auch gerade auf Heise gelesen. Was ich nicht verstehe, was diese Leute, die den Schadcode auf diese Art einschleusen, umtreibt. Testen die jeden Tag opensource Software auf Sicherheitslecks? Das muß doch extrem zeitaufwendig sein. Was geht in diesen Köpfen vor? Positiv gedacht leisten Sie sogar einen großen Dienst und machen auf die Schwachstellen aufmerksam. Trotzdem kann ich nur den Kopf schütteln, verstehe deren Motive nicht wirklich.

[michaa7]

... Und jeder packt mindestens 10 UDF Images am Tage aus . Sollte man als Otto Normalanwender nicht überbewerten. ...

Die Einschränkung, dass die Lücke nur UDF betrifft hatte ich überlesen. Danke für den Hinweis. Das relativiert die Gefahr erheblich. Ich korrigiere das Ausgangsposting entsprechend.

[Lord_Carlos]

Ich habe es auch gerade auf Heise gelesen. Was ich nicht verstehe, was diese Leute, die den Schadcode auf diese Art einschleusen, umtreibt. Testen die jeden Tag opensource Software auf Sicherheitslecks? Das muß doch extrem zeitaufwendig sein. Was geht in diesen Köpfen vor? Positiv gedacht leisten Sie sogar einen großen Dienst und machen auf die Schwachstellen aufmerksam. Trotzdem kann ich nur den Kopf schütteln, verstehe deren Motive nicht wirklich.

Diese Luecke wurde von Sicherheitsforschern gefunden. Auf dem ersten Blick sieht es so aus als wenn die von Cisco bezahlt werden.
Ich nehme an das cisco Produkte verkauft die 7zip enthalten.

Vielleicht sowas wie firewalls die daten entpacken?

Wenn du lustige Unterhaltung willst, lies dir mal die bug reports durch von den Sicherheitsluecken die Google in Virenscannern findet. Zum totlachen.

Klar ist das Positiv. Die machen es ja um Fehler zu finden und zu Melden bevor andere sie finden. Hae?

Edit:
Viel wischi waschi cyber cyber, aber wenn ich es richtig verstehe ist es eine Unterfirma von Cisco die "sicherheit" an firmen verkauft: http://www.talosintel.com/about/