Im Packprogramm WinRAR haben IT-Sicherheitsforscher eine Schwachstelle entdeckt, durch die Angreifer Schadcode einschleusen und ausführen können. Die Sicherheitslücke wird bereits im Internet attackiert. Ein Update zum Stopfen des Lecks steht bereit. WinRAR-Nutzerinnen und -Nutzer sollten es umgehend installieren.
Laut Schwachstellen-Eintrag handelt es sich um eine sogenannte "Path Traversal"-Schwachstelle, die Zugriffe auf eigentlich nicht zugängliche Verzeichnisse ermöglicht. Angreifer können mit manipulierten Archivdateien den Fehler provozieren und dadurch beliebigen Code einschleusen und ausführen, sofern Opfer manipulierte Archive mit verwundbaren WinRAR-Versionen entpacken. Die Lücke wurde von Virenanalysten von Eset entdeckt (CVE-2025-8088 / EUVD-2025-23983, CVSS 8.4, Risiko "hoch").
Details bleiben unklar
Welche Archiv-Typen genau betroffen sind, erörtert WinRAR in der Versionsankündigung für die Fassung 7.13, die die Sicherheitslücke schließt, nicht. Es sind jedoch die älteren Fassungen von RAR, UnRAR, portable UnRAR (Quelltext) und UnRAR.dll für die Schwachstelle anfällig. Die Unix- und Android-Versionen sind hingegen nicht betroffen.
Die fehlerbereinigten Versionen stehen auf der Download-Seite von WinRAR zum Herunterladen bereit. Wer WinRAR einsetzt, sollte die Aktualisierung umgehend durchführen.
Gegenüber Bleepingcomputer hat Eset-Forscher Peter Strýček angegeben, dass das Antivirenunternehmen Spearphishing-E-Mails mit Dateianhängen im RAR-Format entdeckt hat. Diese haben die Schwachstelle missbraucht, um "RomCom"-Backdoors zu installieren. RomCom ist eine mit Russland verbandelte Cyberbande, auch als Storm-0978, Tropical Scorpius oder UNC2596 bekannt. Laut der Webseite spezialisiert sie sich auf Ransomware, Datenklau-Angriffe und Kampagnen zum Stehlen von Zugangsdaten.
Die Schwachstelle erinnert an eine Sicherheitslücke, die Trend Micros Zero Day Initiative (ZDI) kürzlich entdeckt hatte. Auch da musste WinRAR mit der Version 7.12b1 ein Sicherheitsleck stopfen, bei dem Angreifer beliebige Pfade vorgeben und dadurch Schadcode einschleusen und ausführen konnten.
(
Sie haben heise+ bereits abonniert? Hier anmelden.
Oder benötigen Sie mehr Informationen zum heise+ Abo
Kommentare