Sicherheitslücke in Bibliothek ZLIB

Eine weitere, in vielen weit verbreiteten Programmen und Werkzeugen eingesetzte Bibliothek hat eine jahrzehntelang unbekannte . Mit der aktuellen Version 1.2.12 von wurde sie am 27.3.2022 geschlossen. Da im Projekt aber nur der Quellcode bereit gestellt wurde, sind die Hersteller und Open-Source-Projekte gefordert, neue Versionen zu liefern. Sobald diese Updates zur Verfügung stehen, sollten Sie Ihre Programme und „Tools“ auf den aktuellen Stand bringen oder nicht mehr genutzte, alte Produkte entfernen.

Betroffene Produkte sind (die Liste erhebt keinen Anspruch auf Vollständigkeit):

  • 7-Zip, Versionen älter 21.07 (Version 21.07 hat keine zlib.dll mehr)
  • Internet Explorer (wird ab 15. Juni entfernt aus Windows 10, kann aber bereits jetzt deinstalliert werden, sollte ab Server 2019 auch an Servern deinstalliert werden)
  • Microsoft (Office) 365 (zlibwapi.dll 1.2.11) (auch im M365 Apps Update 2103 enthalten – Microsoft prüft)
  • Apache Webserver 2.x (1.2.11)
  • NMap Netzwerkscanner (zlibwapi.dll wie beim Office 1.2.11)
  • Microsoft .net Framework 4.5 (1.2.11) > Neuere Versionen verfügbar
  • Filezilla FTP Client (1.2.11)
  • OBS Studio (1.2.11) – Videobearbeitung > Update 27.2.4 schließt die Lücke
  • CISCO Anyconnect VPN Client (1.2.2.0) > Lücke laut CVS Artikel erst ab Version 1.2.2.2)
  • PDF24 PDF (keine Version erkennbar) > Version 10.0.7.1 oder neuer einsetzen, alte Versionen deinstallieren
  • Audacity (1.2.11)

Fazit

Ungenutzte, alte Softwareprodukte von Ihren Systemen entfernen. Warten, bis Hersteller neue Versionen (mit Stand ab 27.03.2022) herausbringen. Betroffene Softwarepakete aktualisieren.

CVS-Sicherheitseinstufung

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-25032

Verwandte Beiträge
Exchange-Lücke: 40.000 Server ungepatcht
Bereits im Februar 2020 hat Microsoft eine kritische #Sicherheitslücke im #Exchange Server geschlossen. Sie ermöglicht es Angreifern, das System über
Exchange Server angreifbar
Aktuell existiert eine #Sicherheitslücke in allen #Exchange Versionen, die es ermöglicht, sich administrative Berechtigungen zu erschleichen und z. B. Mails
Windows Druckserver Exploit – Print Nightmare (gefixt)
Updates verfügbar: 07.07.2021 Microsoft hat außerplanmäßig das Update KB5004945 und andere Updates bereitgestellt. Stand 8.7. auch für Server 2016 und alte
Libreoffice unbeaufsichtigte Installation
Die quelloffenene Office-Variante im Stil von Office 2003 braucht für ihre Programme zum Starten rund 10x so lange wie Komponenten
Samsung Firmwarestände ausgewählter Galaxy
n rnS Modelle und aktuelle Android Versionen mit Stand 06. Mai 2016 sind hier aufgelistet:rnS3: SMG-I9300XXUGOL1-DBT
PDFCreator auf Terminalservern kostenpflichtig
n rn#PDFCreator 2.3.0 verhindert nun auch den Betrieb auf Terminalservern. Mittlerweile versucht der Anbieter des Open-Source Projekts eine „Closed
Über den Autor:

Patrick Bärenfänger ist TÜV-zertifizierter IT-Security Manager und -Auditor und seit über 30 Jahren in der IT-Branche. Seine Schwerpunkte sind die Ausbildung/Zertifizierung von Systemkoordinatoren, Lizenz-Audits und IT-Systemprüfungen nach BSI-Grundschutz-Katalogen und IDW PS 330 und die Intrastruktur-Analyse und -Optimierung.

Kommentare

2 Gedanken zu “Sicherheitslücke in Bibliothek ZLIB

  1. Sicherheitslücke in Bibliothek ZLIB

    gibt es schon Erkenntnisse zu der sicherheitslücke spring4-shell?
    wenn ja, inwieweit ist gevis Vers. 8 davon betroffen?

Schreiben Sie einen Kommentar

Ihre E-Mail-Adresse wird nicht veröffentlicht.