Open source-tool UnZip bevat kritieke kwetsbaarheid
De open source-tool UnZip om gecomprimeerde bestanden mee uit te pakken bevat een kritieke kwetsbaarheid. Hackers blijken een buffer overflow te kunnen veroorzaken, waardoor zij op afstand willekeurige code op een systeem kunnen uitvoeren.
De kwetsbaarheid is ontdekt door het Google Security Team en deze maand gemeld door Michael Spagnualo, lid van dit team. Het probleem zit in de cyclic redundancy check (CRC) van UnZip, een controle die fouten in bestanden moet detecteren en hierdoor de veiligheid van gebruikers moet vergroten. Door een fout in deze controle bleek een buffer overflow te kunnen worden veroorzaakt. De kwetsbaarheid kan door een aanvaller worden uitgebuit door een speciaal geprepareerd ZIP-bestand met het commando ‘unzip -t’ uit te laten pakken door UnZip.
Het probleem is inmiddels door de ontwikkelaars van UnZip opgelost met twee updates. Het probleem is in alle eerdere versies van UnZip aanwezig, inclusief UnZip 6.0.
Meer over
Lees ook
Beveiligingsbedrijf biedt 1 miljoen dollar voor iOS-kwetsbaarheid
Beveiligingsonderzoekers die een ernstige kwetsbaarheid weten te vinden in het iOS besturingssysteem van Apple kunnen hier fors aan verdienen. Zerodium, een beveiligingsbedrijf dat een exploit acquisition platform heeft ontwikkeld, biedt één miljoen dollar voor een exploit waarmee een aanvaller op afstand de volledige controle over een iOS-gebasee1
Mediaserver van Android bevat opnieuw kwetsbaarheid
Opnieuw blijkt de mediaserver van Android een kwetsbaarheid te bevatten. Met behulp van de kwetsbaarheid kunnen aanvallers eigen code uitvoeren op het niveau van de mediaserver, die onder andere toegang heeft tot internet, de camera en de microfoon van Android-apparaten. Het beveiligingslek is ontdekt door Trend Micro en bevindt zich in het AudioE1
OpenSSL bevat opnieuw beveiligingsgat
Opnieuw is een kwetsbaarheid aangetroffen in OpenSSL. Aanvallers kunnen met behulp van het lek kwetsbare applicaties dwingen een ongeldig certificaat als een legitiem transport layer security (TLS) of secure sockets layer (SSL) certificaat te behandelen. Het lek is aangetroffen door Adam Langley, cryptografisch engineer bij Google, en David Benjam1