Open source-tool UnZip bevat kritieke kwetsbaarheid
De open source-tool UnZip om gecomprimeerde bestanden mee uit te pakken bevat een kritieke kwetsbaarheid. Hackers blijken een buffer overflow te kunnen veroorzaken, waardoor zij op afstand willekeurige code op een systeem kunnen uitvoeren.
De kwetsbaarheid is ontdekt door het Google Security Team en deze maand gemeld door Michael Spagnualo, lid van dit team. Het probleem zit in de cyclic redundancy check (CRC) van UnZip, een controle die fouten in bestanden moet detecteren en hierdoor de veiligheid van gebruikers moet vergroten. Door een fout in deze controle bleek een buffer overflow te kunnen worden veroorzaakt. De kwetsbaarheid kan door een aanvaller worden uitgebuit door een speciaal geprepareerd ZIP-bestand met het commando ‘unzip -t’ uit te laten pakken door UnZip.
Het probleem is inmiddels door de ontwikkelaars van UnZip opgelost met twee updates. Het probleem is in alle eerdere versies van UnZip aanwezig, inclusief UnZip 6.0.
Meer over
Lees ook
Microsoft uit kritiek op Google na snelle publicatie over kwetsbaarheid
Microsoft uit kritiek op Google nadat het bedrijf informatie heeft vrijgegeven over een zero-day kwetsbaarheid in Windows waarvoor nog geen update beschikbaar is. Microsoft stelt dat Google met de actie meer kwaad dan goed doet. Microsoft uit de kritiek in een blogpost. Google waarschuwde op maandag 31 oktober voor een beveiligingslek in het Windo1
Mozilla doneert bijna 230.000 dollar aan Tor en Tails
Mozilla maakt bekend via het Mozilla Open Source Support (MOSS) programma 385.000 dollar te doneren aan open source projecten. Het anonimiseringsnetwerk Tor en de op anonimiteit gerichte Linux distributie Tails ontvangen het grootste deel van de donatie: bijna 230.000 dollar. Het bedrijf doneert 152.500 dolar aan Tor. Dit is een systeem waarmee ee1
Kritieke kwetsbaarheid ontdekt in Adobe Flash Player
Adobe waarschuwt dat een kritieke kwetsbaarheid in Flash Player op dit moment actief wordt misbruikt door cybercriminelen. Via het lek kunnen aanvallers systemen laten crashen en de controle over geïnfecteerde machines overnemen. Er is nog geen update beschikbaar waarmee het beveiligingslek kan worden gedicht. Het gaat om een lek dat is geïdentifi1