Sicherheitslücke in Bibliothek ZLIB

Eine weitere, in vielen weit verbreiteten Programmen und Werkzeugen eingesetzte Bibliothek hat eine jahrzehntelang unbekannte . Mit der aktuellen Version 1.2.12 von wurde sie am 27.3.2022 geschlossen. Da im Projekt aber nur der Quellcode bereit gestellt wurde, sind die Hersteller und Open-Source-Projekte gefordert, neue Versionen zu liefern. Sobald diese Updates zur Verfügung stehen, sollten Sie Ihre Programme und „Tools“ auf den aktuellen Stand bringen oder nicht mehr genutzte, alte Produkte entfernen.

Betroffene Produkte sind (die Liste erhebt keinen Anspruch auf Vollständigkeit):

  • 7-Zip, Versionen älter 21.07 (Version 21.07 hat keine zlib.dll mehr)
  • Internet Explorer (wird ab 15. Juni entfernt aus Windows 10, kann aber bereits jetzt deinstalliert werden, sollte ab Server 2019 auch an Servern deinstalliert werden)
  • Microsoft (Office) 365 (zlibwapi.dll 1.2.11) (auch im M365 Apps Update 2103 enthalten – Microsoft prüft)
  • Apache Webserver 2.x (1.2.11)
  • NMap Netzwerkscanner (zlibwapi.dll wie beim Office 1.2.11)
  • Microsoft .net Framework 4.5 (1.2.11) > Neuere Versionen verfügbar
  • Filezilla FTP Client (1.2.11)
  • OBS Studio (1.2.11) – Videobearbeitung > Update 27.2.4 schließt die Lücke
  • CISCO Anyconnect VPN Client (1.2.2.0) > Lücke laut CVS Artikel erst ab Version 1.2.2.2)
  • PDF24 PDF (keine Version erkennbar) > Version 10.0.7.1 oder neuer einsetzen, alte Versionen deinstallieren
  • Audacity (1.2.11)

Fazit

Ungenutzte, alte Softwareprodukte von Ihren Systemen entfernen. Warten, bis Hersteller neue Versionen (mit Stand ab 27.03.2022) herausbringen. Betroffene Softwarepakete aktualisieren.

CVS-Sicherheitseinstufung

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-25032

Verwandte Beiträge
Kategoriebild

Screen und AudioaufnahmeDa das Projekt Screen Cast Capture Light Recorder kein DPI-Scaling unterstützt (Aufnahmen von hochauflösenden Displays, wo die Text- und Schriftgröße

Über den Autor:

Patrick Bärenfänger ist TÜV-zertifizierter IT-Security Manager und -Auditor und seit über 32 Jahren in der IT-Branche. Seine Schwerpunkte sind die Ausbildung/Zertifizierung von Systemkoordinatoren, Lizenz-Audits und IT-Systemprüfungen nach BSI-Grundschutz-Katalogen und IDW PS 330 und die Intrastruktur-Analyse und -Optimierung.

Kommentare

2 Gedanken zu “Sicherheitslücke in Bibliothek ZLIB

  1. Sicherheitslücke in Bibliothek ZLIB

    gibt es schon Erkenntnisse zu der sicherheitslücke spring4-shell?
    wenn ja, inwieweit ist gevis Vers. 8 davon betroffen?

    1. Sicherheitslücke in Bibliothek ZLIB

      Nein, in Microsoft Dynamics 2009 R2 und Nachfolgern wird keine Spring Cloud Function (CVE-2022-22963) genutzt.

Schreiben Sie einen Kommentar

Ihre E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert