Die Dekomprimierungsfunktion einiger Programme zum Entpacken von .zip-Archiven enthält eine Pufferüberlaufschwachstelle.

Betroffene Systeme

• Aladdin Systems StuffIt Expander vor Version 7.0
• Verity, Inc. KeyView viewing SDK
• Lotus Notes R4
• Lotus Notes R5 (incl. Version R5.0.11)
• Lotus Notes R6 (vor R6 Gold)
• Microsoft Windows 98 mit dem Plus! Paket
• Microsoft Windows ME
• Microsoft Windows XP

Nicht betroffene Systeme

• WinRAR
• WinZip 8.x
• zlib

Einfallstor
Öffnen eines .zip-Archives

Auswirkung

• Ausführung beliebigen Programmcodes
• Denial of Service (DoS)

Typ der Verwundbarkeit
buffer overflow bug

Gefahrenpotential
mittel bis hoch
(Hinweise zur Einstufung des Gefahrenpotentials.)

Beschreibung
Die Dekomprimierungsfunktion einiger Programme zum Entpacken von .zip-Archiven, weist eine Pufferüberlaufschwachstelle bei der Verarbeitung von langen Dateinamen auf. Durch diese Schwachstelle kann beim Öffnen eines .zip-Archives möglicherweise beliebger Programmcode ausgeführt werden (siehe RUS-CERT-Meldung 978).

Gegenmaßnahmen

• Aladdin StuffIt Expander:
  http://www.stuffit.com/expander/cert.html
• Lotus Notes:
  Bislang liegt kein Patch vor.
• Windows 98 mit Plus!-Packet:
  http://www.microsoft.com/windows98/downloads/contents/WUCritical/q329048/default.asp
• Windows Me:
  Nur über Windows Update verfügbar.
• Windows XP:
  http://www.microsoft.com/Downloads/Release.asp?ReleaseID=43419

Vulnerability ID

• CAN-2002-0370
• CERT/CC-Bug-ID: VU#383779
• Lotus-Bug-ID: SPR# KSPR5CJV2G
• Verity-Bug-ID: 76316

Weitere Information zu diesem Thema

• Multiple Vendor Long ZIP Entry Filename Processing Issues (Rapid 7 Advisory R7-0004)

Weitere Artikel zu diesem Thema:

• [MS/Windows XP,ME,98] Schwachstelle in "Komprimierte Ordner"-Funktion (2002-10-06)
  Microsoft Windows XP, ME und 98 mit dem Plus!-Paket weisen Schwachstellen in der "Komprimierte Ordner"-Funktion auf, wodurch beim Dekompromieren von gezippten Dateien beliebiger Programmcode ausgeführt werden kann.

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2022 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/