Bundesamt für Sicherheit in der Informationstechnik

Technische Warnung

06.06.2018 - TW-T18-0080_Update_1

Zahlreiche Dekomprimierungs-Programme: Schwachstelle ermöglicht Codeausführung (ZIP Slip)

Art der Meldung: Warnmeldung

Risikostufe 3

Betroffene Systeme:

  • Verschiedene Software Bibliotheken und Module für die Programmiersprachen Java, JavaScript, Go und Ruby
  • Verschiedene Tools zur Software Entwicklung (u.a. Apache Ant, Apache Maven, Apache Hadoop)

Empfehlung:

Das BürgerCERT empfiehlt Bürgern, die die unter [1] erwähnte Software nutzen, das Aktualisieren der Software, sobald Sicherheitsupdates bereitstehen.

Beschreibung:

Unter dem Namen "Zip Slip" wurden eine Reihe von Schwachstellen in Softwarebibliotheken veröffentlicht. Unter Software-Bibliotheken kann man wiederverwendbare Funktionalitäten oder Bestandteile von Programmen bezeichnen. Die erwähnten Schwachstellen ermöglichen das Überschreiben von Dateien in anderen Verzeichnissen während dem Entpacken des Archivs und können in der Ausführung von fremden und schadhaften Code resultieren. Eine vollständige Liste der betroffenen Software ist unter [1] zu finden, eine ausführliche Beschreibung der Schwachstelle kann unter [2] gefunden werden.

Zusammenfassung:

Schwachstellen in Bibliotheken und Programmen zum Entpacken von Datei-Archiven (z.B. .zip-Dateien) ermöglichen die Ausführung von Schadcode mit den Berechtigungen des Nutzers.