WinRAR: Bug macht Windows über alle WinRAR-Versionen angreifbar, kurioser Fix bereits vorhanden
Einige Leser gehören bestimmt zu den mehr als 500 Millionen Nutzern, die das Entpack-Programm WinRAR unter Windows einsetzen. Ob als kostenlose Dauertestversion oder bezahlt sei einmal dahingestellt. Auf jeden Fall sollte man als Nutzer wohl schleunigst ein Update auf die aktuelle Version 5.70 beta 1 ausführen, denn mit jeder anderen Version setzt man sich der Gefahr eines Angriffs aus.
Schuld sind hier ACE-Dateien, die beim Entpacken einen Bug ausnutzen können, der Code direkt in Start-Up-Ordner von Windows bringt. Heißt, eingeschleuster Code lässt sich problemlos ausführen. Da ACE-Dateien nicht zwingend auf .ace enden, ist Vorsicht bei allen zu entpackenden Dateien geboten. Denn WinRAR erkennt die Dateien nicht anhand der Endung, sondern am Inhalt. Also kann auch eine .rar-Datei eigentlich eine ACE-Datei sein.
Um den schädlichen Code einzuschleusen, muss der Nutzer nur eine präparierte Datei entpacken, der Rest passiert dann von allein. Die Lösung, die WinRAR parat hat, liest sich übrigens sehr kurios. Der Fehler liegt in der Datei UNACEV2.dll. Für diese hat man aber bereits 2005 den Source Code verloren(siehe Update). Was macht WinRAR nun? Die Datei einfach entfernen – und somit auch die Unterstützung zum Entpacken von ACE-Dateien. Manchmal kann es auch echt einfach sein.
Den Download der Beta 1 von WinRAR 5.70 erhaltet Ihr auf dieser Seite. Nutzt Ihr das Entpack-Urgestein denn heute noch?
Update: Der Source Code für die betroffene Datei wurde nicht verloren, man hat nur keinen Zugriff drauf und die Datei wurde seit 2005 nicht mehr aktualisiert. Also hat man sie entfernt.
via Hackernews
Wird geladen ...
Ich bin sogar einer der wenigen, die eine Lizenz (gekauft) haben! 🙂
Zur Frage: Ja ich nutze WinRAR seit über 7 Jahren mit dieser Lizenz, es ist nach wie vor ein TOP Programm.
Ernsthafte Frage: Warum nutzt du nicht 7zip?
Warum sollte ich 7Zip denn nutzen, wenn ich eine WinRAR Lizenz (seit 2012) besitze und das Programm super funktioniert?
Aber ich bin auch nicht so der „Mainstream“: Mag weder Game of Thrones noch Androidhandys usw.
Im Gegenzug hatte ich weder mit Windows ME, Vista noch 8/8.1 ein Problem – und mein Lumia Windowsphone habe ich geliebt! 😉
Weil er eine Lizenz gekauft hat… 😉
Mal ernst, seit 7zip gab’s kein Grund mehr für WinRAR oder WinZip…
WinZIP ist doch schon seit Windows ME überholt, als die ZIP-Funktion integriert wurde ins Windows.
Da ich viel mit RAR-Dateien zu tun habe, ist die Funktion in WinRAR RAR-Dateien reparieren zu können einfach genail.
Da ich, wie erwähnt, viel mit RAR-Dateien zu tun habe, ist für mich schon vor 7 Jahren der Weg zum „offiziellen“ RAR-Packer logisch gewesen.
7Zip ist 2012 noch nicht so weit gewesen wie heute – aber rate sonst auch bei Anfrage zu 7Zip.
Hat bei mir die gleichen Gründe. Habe mir vor Ewigkeiten mal in einer Aktion zu einem Spottpreis eine WinRAR Lizenz gekauft da die Alternativen einfach noch nicht soweit waren, und ich ebenfalls viel mit rar Dateien hantiere.
Weil Winrar super funktioniert, sehr komfortabel und schnell ist und 7zip mit einigen Zip-Dateien schon Probleme hatte, warum auch immer. Wenn ich eine Lizenz hätte, würde ich es auch nutzen. Wobei ich zugeben muss, dass ich privat vielleicht zwei Mal pro Jahr am Windows-PC mit ner zip zu tun habe.
Gibt es 7-zip eigentlich auch für Android?
Gegen 7-zip gibt es auch etliche Gründe:
https://www.cvedetails.com/vulnerability-list/vendor_id-9220/7-zip.html
Ich sehe nur gefixte Bugs, keine Probleme.
Klar, die letzte Sicherheitslücke von 7-zip wurde ruckzuck nach nur 8 Jahren gefixt.
Das Rar-Format hat z. B. Recovery-Records und man kann die Archive versiegeln.
Letztlich ist es Bockwurst, wenn es oftmals nur um das Entpacken geht, nimmt. Beide Programme bieten eine mehr oder weniger gute Schnittstelle und Unterstützung für div. Formate.
Wenn ein *.rar tatsächlich mal nicht ganz tacko sein sollte, dann kann man mit dem nativen Packer immer noch eine Reparaturversuch starten.
Ist bei mir genau so. Habe damals auch eine WinRAR-Lizenz gekauft und bin sehr zufrieden mit WinRAR. Klar kann man jede kostenpflichtige Software auch durch eine vergleichbare kostenlose Software ersetzen, aber ich mag WinRAR einfach von der Bedienung, und ich wüsste jetzt nicht, warum ich mit aller Kraft eine Software ersetzen sollte, die mir gute Dienste erweist.
Und btw: Wenn ich sehr überzeugt bin von einer Sache bzw. damit sehr zufrieden bin, dann bin ich auch gerne bereit dafür zu zahlen und die Entwickler damit zu unterstützen. Aber soll jeder machen wie er will. Ich finde es gut, dass man in nahezu jedem Software-Genre oft die Wahl hat zwischen kostenpflichtig und kostenlos.
Dem kann ich 1:1 Zustimmen – habe zudem auch eine Lizenz von Total Commander und Malwarebytes (beides Lifetime). 🙂
Ich hatte mir auch mal irgendwann in einem Angebot eine WinRAR Lizenz für einen Spottpreis gekauft, die funktioniert immer noch wunderbar, auch mit neueren Versionen.
wie hast du das geschafft? Meine gekaufte Lizenz 4.x ist nicht mit 5.X kompatibel. Bekomme immer „Registration failed“
Ich hab auch eine 🙂 und ich nutze es auch lieber als 7ZIP da dieses doch ab und zu Probleme mit RAR Archiven hat und sie nicht entpackt, während WinRAR das gleiche Archiv problemlos extrahiert. Und irgendwie ist WinRAR hübscher 🙂
Bin seit ein paar Jahren von Winrar weg zu 7-Zip. Es ist einfach schneller, und bei Bedarf komprimiert es auch besser. 😉
Mal ne Frage, weg von WinRAR – das heißt deine Lizenz nimmer genutzt, oder die ewig installierte Sharewareversion (wie bei fast Jedem)? :-)))
Moralaposteln sind mir unsympathisch. Jeder gibt für das Geld aus, was er für richtig hält. Ist ja schön, dass du die Entwickler deiner Wahl unterstützen willst, aber musst das nicht an die große Glocke hängen. 😉
Ansonsten würde ich die Frage stellen, welchen sozialen und non profit Einrichtungen du noch dein Geld zur Verfügung stellst, damit wir uns ein Gesamtbild machen können. Eventuell kannst du ja doch ein paar Leute hier inspirieren.
Ai Ai Ai, immer diese aggressiven Menschen. Hast du vergessen deine Tabletten zu nehmen?
Hi Dennis, woran hast du den genau festgemacht, dass ich aggressiv bin?
Würde mich echt interessieren!
Man hat den Sourcecode verloren…
Ich glaube bei so schlechten Codemanagment würde ich mich im Ganzen von dem Programm verabschieden.
Sourcecode verloren…
Auch wenn ich mich frage: Wie? Warum? Wie?! Wissen möchte ich die Antwort nicht. Sonst bekomme ich bestimmt Kopfschmerzen vom Kopfschütteln.
„Für diese hat man aber bereits 2005 den Source Code verloren.“ Und keiner dieser „Profis“ ist in der Lage, reverse engineering zu betreiben? Stichwort Disassembler oder Decompiler. Ach, ich vergass: Alles was älter als 5 Jahre ist, ist Steinzeit…
Der Grund, warum sie die Unterstützung für ACE wegschmeißen, mag ulkig klingen, der Schritt ist für mich aber absolut nachvollziehbar. Tote Pferde nicht weiterreiten, schon gar nicht, wenn sei Probleme bereiten, also weg damit und gut ist.
Eben mal über Search Everything mal nach „UNACEV2.dll“ gesucht. Total Commander verwendet die wohl auch…
Nun, ich hab mal beide in ein WinRar4 Archiv gepackt und die Dateien nach dem Archivieren löschen lassen. Ich denke damit ist es auch getan.
Ist die WinRAR x64 (64 bit) 5.70 beta 2 auch betroffen?
Weil du explizit auf WinRAR x64 (64 bit) 5.70 beta 1 verweist…
Zum Zeitpunkt des Beitrags war beta 1 die aktuellste Version, die erste mit Fix, alle nachfolgenden Versionen sollten den Fix selbstverständlich auch enthalten.
Mal eine blöde Frage, kann ich nicht einfach manuell die dll Datei entfernen bei meiner aktuellen WinRAR Version und erreiche damit das gleiche, ohne eine Beta installieren zu müssen?
Ja, geht. Dann erscheint halt eine Fehlermeldung nach dem Auflisten der Dateien und vor dem angedachten entpacken… (Funktioniert auch mit Total Commander problemlos, einfach die dll wegwefen). Musste extra eine *.ace erstellen, weil keins mehr rumlag. :b
Was meinst Du mit auflisten, also wann kommt eine Fehlermeldung, wenn ich versuche ace Dateien zu entpacken (was nie der Fall sein wird) oder auch in anderen Szenarien?
Ich habe die DLL-Datei gelöscht und eine RAR5 Datei entpackt, keine Fehlermeldung. Sollte also kein Problem sein.
Es gibt einen RIESEN Grund, wieso ich 7Zip NICHT nutze!
Markiert mal 10 Dateien und lasst die auspacken.
Winrar bietet an, jede Datei in ein eigenes Verzeichnis zu entpacken.
7zip kann das IMHO nicht.
Keine Ahnung wieso nicht.
Doch, mache ich andauernd, schon seit Jahren. Im Kontextmenü 7-Zip->Entpacken nach „*/“, dann wird für jedes Archiv ein Ordner mit dem Archivnamen angelegt und in eben jenen das jeweilige Archiv entpackt.
Ok, kannte ich wirklich nicht, wobei ich pauschal keine Lust habe in verschachtelten Menüs zu jonglieren.
Edit: Harry war 10 Min. schneller. Kommt davon, wenn man zwischendurch was anderes macht. 😀
Doch. Geht. Habe den Eintrag dafür im Kontext-Menü.
Heißt: Entpacken nach „*\“.
Damit erstellt 7zip automatisch ein Verzeichnis, welches nach der gepackten Datei benannt wird. Gerade auch extra mit rar, 7z und zip gemischt getestet.
Wir nutzen WinRar seit 10 Jahren nicht mehr und arbeiten nur mit WinZip. Ganz einfach deshalb weil man mit tausenden Kunden zusammenarbeitet und so alles zu 100% kompatibel ist. Und kein Kunde hat ein Problem, egal was er benutzt.
WinRAR kann aber auch ZIP-Dateien erstellen – nicht nur RAR-Dateien.
Die Frage ist doch: Warum sollte man 7zip benutzen?
winrar ist nun mal der Primus und funktioniert viel besser als 7zip.
„Die Frage ist doch: Warum sollte man 7zip benutzen?“
Die Antwort:
– kann als exe getarnte selbst extrahierende irgendwas-Archive öffnen
– kann ISOs öffnen
– kann tar.gz Files öffnen (unter Windows)
– ist schneller
Sind jetzt Anwendungsfälle, die ich hin und wieder habe. Wüsste nicht, das winrar das auch alles kann. Und auf Probleme irgendwelcher Art bin ich noch nicht gestoßen. Wenn dir bei 7zip Probleme bekannt sind, darfst du die gerne erwähnen.
-exe kann winrar auch
-iso kann winrar auch (windows auch seit Jahren nativ)
-tar.gz kann winrar auch
-subjektiv ist bei mir winrar schneller
also ich sehe da jetzt keinen großen Vorteil bei 7zip.
Naja, der Primus dürfte immer noch Winzip selbst sein. WinRAR war und ist für viele interessant, weil es eben mit RAR-Dateien umgehen kann, was mit den Alternativen nicht immer zuverlässig oder auch gar nicht funktioniert. Wirklich angewiesen ist die Masse der Nutzer doch auf keines dieser Tools mehr, spätestens seit der ZIP-Integration in Windows. Die bietet zwar nur rudimentäre Unterstützung, was aber für die meisten Anwendungen im Alltag locker ausreicht. Und trotz aller Vorzüge, die andere Formate bieten, dürfte ZIP immer noch das sein, was am weitesten verbreitet ist. Insofern denke ich, dass viele langjähriger Nutzer zwar an WinRAR festhalten, weil es eben gut funktioniert, aber nicht, weil sie es unbedingt müssten. Und das muss man dann natürlich auch nicht um jeden Preis ändern.
„weil es eben mit RAR-Dateien umgehen kann“
Was vermutlich daran liegt, dass rar das „Hausformat“ von winrar ist. Wenn man unbedingt rar Files erstellen möchte/muss, braucht man winrar natürlich. Gleiches dürfte für 7z Files gelten. Wobei es da natürlich wegen Open Source sein kann, dass man auch mit anderen Packern 7z Dateien erstellen können dürfte. Das weiß ich jetzt nicht. Mit 7zip kann man jedenfalls keine rar Archive erstellen.
„– kann als exe getarnte selbst extrahierende irgendwas-Archive öffnen
– kann ISOs öffnen
– kann tar.gz Files öffnen (unter Windows)
– ist schneller“
Kann Winrar auch alles und warum sollte 7zip schneller sein??
😉
Zumal der Punkt mit der Geschwindigkeit mittlerweile eh vernachlässigbar ist. Ob das entpacken eines mehrere GB großen Archivs nun 2 Sekunden länger oder kürzer dauert ist mir persönlich recht egal.
Habe winrar wie unten geschrieben schon eine Ewigkeit nicht mehr ausprobiert.
Wenn ich meine Projekte – viele kleine einzelne Dateien – mal packen muss, bin ich froh über jede Sekunde, die das weniger braucht. Selbes gilt beim entpacken. Ist wie beim Kopieren. Eine große Datei geht schneller, als viele kleine Dateien mit dem gleichen Gesamtvolumen der großen Datei.
Ich schrieb ja:
„Wüsste nicht, das winrar das auch alles kann.“
Als ich winrar noch nutzte, konnte es das alles nicht. Hätte ich natürlich vorher mal nachschauen können. 🙂
Bezüglich der Geschwindigkeit attestiert heise 7zip dem Programm diesen Vorteil. Und gefühlt kann ich das bestätigen (werde einen Teufel tun, hier belastbares Material selbst erstellen zu wollen). Für mich ist es jedenfalls das Mittel der Wahl. Keine Ahnung wie es aussähe, besäße ich eine winrar Lizenz. Als Schüler erschien damals(TM) eine Anschaffung unwirtschaftlich. Heute übrigens auch, weil mir 7zip eben alle Anforderungen erfüllt und ich mir nicht um irgend eine Lizenz Gedanken machen muss, wenn ich es schnell irgendwo installieren muss.
Ansonsten weiß ich nicht, ob 7zip die Sicherheitsmechanismen wie winrar bei defekten Archiven anbietet. Ist jetzt allerdings auch keine Funktion, die für mich Priorität hat, wäre natürlich ein Vorteil für winrar.
Falls jemand die deutsche Beta sucht. Die gibt es hier: http://leimer.name/winrar/index.html
Auf der offiziellen Winrar-Seite gibt es ja nur Englisch und andere Sprachen.
Lieber Ketchup als Majo, Lieber Schoko als Vanille und lieber Winrar als *zip.
Ist einfach eine ausgezeichnete Software.
Bei Filzip, Speedcommander und XNview ist die UNACEV2.dll auch im Ordner. Also sind die Programme auch angreifbar? Bei wie vielen anderen wurde die dll wohl noch verwendet?
Interessiert mich auch.
„Update: Der Source Code für die betroffene Datei wurde nicht verloren, man hat nur keinen Zugriff drauf und die Datei wurde seit 2005 nicht mehr aktualisiert. Also hat man sie entfernt.“
Macht es jetzt nicht besser…
Naja, wer benutzt schon noch das ACE Format?
Hauptsache, es kann einem nicht mehr mit irgendeinem Trick (automatisch öffnend) so eine Datei untergejubelt werden…