Schwere Sicherheitslücke in WinRAR gefunden - es wird zu Update geraten

[Intruder]

Das habe ich gerade durch Zufall im Netz gefunden...

Sicherheitslücke in WinRAR entdeckt: Nutzer sollten Software dringend updaten

Die Schwachstelle trägt den Namen CVE-2023-40477. Angreifer können hier potentiell beliebigen Code auf dem Gerät aufspielen. Voraussetzung für die Ausnutzung der Lücke ist, dass der Nutzer zuvor eine bösartige Webseite oder eine bösartige Datei öffnet. Die Gefährlichkeit der Schwachstelle wird mit einem CVSS-Score von 7,8 und dem Schweregrad "hoch" eingestuft.

ich bin ja so ein "Spezi", der installiert Windows und packt irgendwann mal WinRAR drauf und dann wird das Ding nicht mehr upgedatet weil ich damit nur mal hier und da was "auspacken" will. Da hat man dann schnell veraltete oder halt potentiell "gefährliche" Software aufgrund Sicherheitslücken auf dem System, woran nicht im ersten Moment drauf kommen könnte.

Also schaut mal nach ob ihr da save seit 🙂

 

[whats4]

ich empfehle einmal im monat die meistgenutzen apps auf updates zu prüfen.
nuja, viele machen das eh von selbst, es sei denn, man dreht es ab.

ich mach das immer an/nach dem patschday.

 

[coasterblog]

Danke für die Info.

Aber ich schaue auch selbst immer mal nach Updates. Trotzdem war das jetzt hilfreich.

Und Lücken in Software kennen viele Anbieter
Gut dass es gefunden wurde.

 

[sr-71]

ich empfehle einmal im monat die meistgenutzen apps auf updates zu prüfen.
nuja, viele machen das eh von selbst, es sei denn, man dreht es ab.

ich mach das immer an/nach dem patschday.

Patschday ???

Neue Kreation , oder eingedeutscht ??
Patchday dann schon eher

 

[Sweepi]

ich bin ja so ein "Spezi", der installiert Windows und packt irgendwann mal WinRAR drauf und dann wird das Ding nicht mehr upgedatet weil ich damit nur mal hier und da was "auspacken" will.

Dafür empfiehlt sich 7-zip:
https://www.7-zip.org/
https://de.wikipedia.org/wiki/7-Zip
https://sourceforge.net/projects/sevenzip/
https://www.computerbase.de/downloads/office/packprogramme/7-zip/

opensource, kostenlos, erfahrener Entwickler.

 

[coasterblog]

Auch in kostenloser, quellofffener Software gab es schon Lücken. Auch sehr kritische.

Wo man sich dann fragt wenn alle den Code sehen und prüffen können warum einige Lücken so alt waren.
Aber natürlich ist 7zip auch eine Empfehlung. Vom Workflow her bleibe ich bei WinRAR.

 

[kachiri]

Ich weiß gar nicht mehr, wann ich das letzte Mal eine nicht Zip-Datei entpackt habe. In meinen Gefilden gibt es meist entweder zip oder halt tar(.gz). Und das geht ja mit Boardmitteln.

 

[TSB]

Alle paar Tage mal CMD(Admin) starten und einmal "winget update --all" reinhauen, so werden alle Programme, die eine neuere Version online haben, direkt geupdated.


Edit: winget upgrade --all --silent --include-unknown

 

[Sandro_Suchti]

Noch besser wäre: winget upgrade --all --silent --include-unknown

 

[TSB]

@Sandro_Suchti was macht denn das --silent ?

Aber ja der command ist besser.

 

[Drewkev]

was macht denn das --silent ?

Das Programm wird dadurch im Hintergrund installiert bzw. aktualisiert, ohne dass der Benutzer zusätzliche Eingaben tätigen muss.

 

[CyborgBeta]

Noch besser wäre: winget upgrade --all --silent --include-unknown

Wird man dann (als Admin) immer noch vor jedem Upgrade um eine Bestätigung gefragt?

E: ich verwende WingetUI.

 

[AGB-Leser]

Noch besser wäre: winget upgrade --all --silent --include-unknown

Braucht man für winget ein Microsoftkonto? Das greift ja, wenn ich das sehe, einfach auf den Store von Microsoft zu

 

[coasterblog]

Was ist denn genau das Unbekannte?
--include-unknown

Den Zusatz habe ich noch nicht gesehen. Und da ich nur abschreibe weil ich mich mit Terminals nicht wirklich auskenne wäre ich um kurze Info dankbar.

 

[oicfar]

Ach, WinRAR gibt's noch. Nutze ich schon lange nicht mehr.

 

[CyborgBeta]

auf den Store von Microsoft zu

Das hat damit nichts zu tun.

 

[TSB]

Braucht man für winget ein Microsoftkonto? Das greift ja, wenn ich das sehe, einfach auf den Store von Microsoft zu

Ne, die Quelle wird online bezogen.

 

[Sandro_Suchti]

Wird man dann (als Admin) immer noch vor jedem Upgrade um eine Bestätigung gefragt?

Nein, du musst nur das Terminal oder die PowerShell als Administrator ausführen

Braucht man für winget ein Microsoftkonto?

Nein

Was ist denn genau das Unbekannte?
--include-unknown

Damit werden auch Programme aktualisiert (bzw. versucht) dessen aktuelle Version unbekannt ist

 

[TSB]

Und da ich nur abschreibe weil ich mich mit Terminals nicht wirklich auskenne wäre ich um kurze Info dankbar.

Ich meine WinGet gibt es auch mit User Interface, kannst du dir mal angucken, wenn du Terminals nicht magst

 

[Sweepi]

Wo man sich dann fragt wenn alle den Code sehen und prüffen können warum einige Lücken so alt waren.

Offtopic: Selbst in Betriebssystemen (open und close sourced) und millionenfach verwendeten, sicherheitsrelevanten Bibliotheken wie openSSL werden immer wieder Lücken gefunden, die Jahre alt sind.