WinRAR hat endlich eine kritische Sicherheitslücke (CVE-2023-40477) behoben, womit man von außen einen beliebigen Code ausführen konnte.
Den Schweregrad des WinRAR Bugs (CVE-2023-40477) hat man aber nur auf 7,8 festgelegt, da der Benutzer zur Ausnutzung zu einer Aktion verleitet werden musste. Ohne Zutun des Anwenders war die Lücke nicht ausnutzbar. Die Schwachstelle entdeckte der anonyme Forscher „goodbyeselene“ der Zero Day Initiative, der den Fehler schon am 8. Juni 2023 an den Hersteller RARLAB meldete.
WinRAR-Hersteller hat sich mit Bugfix viel Zeit gelassen
Damit die Sicherheitslücke mit den fehlerhaften Schreibrechten aktiv werden konnte, musste der Benutzer eine speziell dafür präparierte Webseite besuchen oder ein entsprechend vorbereitetes Archiv entpacken. Ansonsten hat sich sich der Fehler nicht bemerkbar gemacht.
„Der spezifische Fehler besteht in der Verarbeitung von Wiederherstellungsvolumina“. So heißt es in dem Sicherheitshinweis, der auf der Website von ZDI veröffentlicht wurde. „Das Problem resultiert aus dem Fehlen einer ordnungsgemäßen Validierung der vom Benutzer eingegebenen Daten, was zu einem Speicherzugriff über das Ende eines zugewiesenen Puffers hinaus führen kann.“
Der Hersteller hat am 20. Juli die Betaversion zur Verfügung gestellt, der diesen Bug fixt. Das offizielle Update von WinRAR stellt man den Nutzern erst seit Anfang August zur Verfügung. Mit der Version 6.23 erfolgten noch weitere Verbesserungen und Korrekturen. Hier eine ausführliche Liste aller Bugfixes und sonstigen Veränderungen.
RARLAB rät zu einem zeitnahen Update
Der Entwickler des populären Archivierungs-Tools WinRAR rät zu einem baldigen Update, um ihr Programm im vollem Umfang und gänzlich ohne (bekannte) Sicherheitslücke nutzen zu können.
Bugs hat es in diesem Programm immer schon einmal gegeben. Wer auf Nummer sicher gehen will, kann auch eine andere Software, wie beispielsweise das plattformübergreifende 7-Zip verwenden.
Microsoft will Tools wie WinRAR künftig ersetzen
Windows 11 soll jedoch bald dazu in der Lage sein, Rar-Archive ab Werk ohne zusätzliche Anwendung zu öffnen. Dann benötigt man kein externes Programm wie WinRAR mehr dafür. Ab Build 2023 will Microsoft dies mit Hilfe des Open-Source-Projekts libarchive realisieren. Dabei kommt eine quelloffene Bibliothek zum Einsatz, die Unterstützung für eine Vielzahl von Formaten bietet.
So soll es künftig möglich sein, Archive in Formaten wie tar, 7-Zip, RAR oder auch gz problemlos unter Windows 11 zu entpacken. Eine Liste aller unterstützten Formate der Bibliothek findet man hier auf der Webseite des libarchive-Projekts.
