Connect with us

Künstliche Intelligenz

WinRAR: Windows-Version kann beliebigen untergeschobenen Code ausführen


In der Windows-Version von WinRAR können Angreifer eine Sicherheitslücke missbrauchen, um eingeschleusten Schadcode auszuführen. Eine Beta-Version steht als Aktualisierung bereit, die die Schwachstelle ausbessert.

In der Ankündigung der Beta-Version beschreiben die WinRAR-Entwickler die Lücke sehr oberflächlich als „beim Extrahieren von Dateien kann WinRAR, RAR, UnRAR, portable UnRAR sowie die UnRAR.dll dazu gebracht werden, einen Pfad zu nutzen, der in einem manipulierten Archiv vorgegeben wird, anstatt einen Nutzer-vorgegebenen Pfad zu verwenden“. Die Entdecker des Sicherheitslecks bei Trend Micros Zero-Day-Initiative werden hingegen etwas präziser: „Der spezielle Fehler besteht im Umgang mit Pfaden innerhalb von Archiv-Dateien. Ein präparierter Dateipfad kann dazu führen, dass der Prozess in nicht vorgesehene Verzeichnisse wandert (traverse). Angreifer können das missbrauchen, um Schadcode im Kontext des aktuellen Users auszuführen“ (CVE-2025-6218 / noch kein EUVD, CVSS 7.8, Risiko „hoch„).

Die WinRAR-Entwickler betonen, dass der Fehler die Windows-Versionen der Software betrifft. „Unix-Versionen von RAR, UnRAR, portable UnRAR Quellcode und die UnRAR-Bibliothek sowie RAR für Android sind nicht betroffen“. Die Beta-Version schließt noch weitere Sicherheitslücken. So konnte beim Erstellen von Reports der Dateiname ungefiltert in die Berichts-HTML-Datei einfließen, was das Einschleusen von unsicheren HTML-Tags ermöglichte. Die Ersetzung der „< >“-Zeichen für Tags durch Strings für die Symbole korrigiert das Problem.

Auf der Download-Seite von WinRAR ist die Beta-Version recht unscheinbar über der Dateiliste mit Suchfiltern einsortiert. Sie lässt sich hier direkt herunterladen. Die Beta-Version verschwindet jedoch umgehend, sofern die Entwickler die finale Version von WinRAR 7.12 online stellen.

Bereits WinRAR 7.11 hatte eine Sicherheitslücke geschlossen. Ein präparierter symbolischer Link konnte dazu führen, dass der Mark-of-the-Web-Mechanismus (MotW) nicht griff, wodurch beim Ausführen und Öffnen potenziell gefährlicher entpackter Dateien aus dem Internet keine Warnmeldung von Windows erscheint.


(dmk)



Source link

Künstliche Intelligenz

Allgemeine Geschäftsbedingungen: Verlinkt heißt nicht immer vereinbart


Verträge sind einzuhalten, das ist ein uralter zivilrechtlicher Grundsatz. Leider kann das Drumherum kompliziert sein. So mussten Zivilgerichte sich schon oft damit befassen, ob vermeintliche Abmachungen tatsächlich zu einem vereinbarten Vertrag gehören oder nicht. Manche Bestimmungen, um die sich nachvertraglicher Ärger dreht, sind Bestandteil von allgemeinen Geschäftsbedingungen (AGB). Sie können bei Käufen etwa Angaben zu Garantien und manch anderes betreffen. Geht es beispielsweise um Mobilfunk- oder Hostingverträge, gehören auch wichtige Details wie Vertragsdauer und Kündigungsbedingungen dazu. AGB sind § 305 Abs. 1 des Bürgerlichen Gesetzbuchs (BGB) zufolge keine individuell ausgehandelten Vertragsklauseln, sondern Bedingungen, die eine Vertragspartei für Verträge mit einer Vielzahl von Partnern vorformuliert hat.

Häufig stehen AGB nicht direkt im Vertragstext, sondern liegen als eigenständige Dokumente vor. Um sie wirksam in einen Vertrag einzubinden, müssen beide Vertragspartner einverstanden sein – das lässt sich auf unterschiedliche Weise dokumentieren, unter anderem durch Anklicken einer Checkbox in einem Bestelldokument. Auf jeden Fall muss ein AGB-Verwender seinem Partner vor beziehungsweise bei Vertragsschluss die Möglichkeit geben, die Bedingungen zur Kenntnis zu nehmen (§ 305 Abs. 2, 3 BGB).

  • Wenn Anbieter ihre allgemeinen Geschäftsbedingungen (AGB) in Verträge einbinden wollen, müssen sie ihren Vertragspartnern Gelegenheit geben, diese Bestimmungen auf zumutbare Weise zur Kenntnis zu nehmen.
  • Normalerweise gilt es als zumutbar, wenn ein Bestelldokument mit einem gesonderten AGB-Dokument im Web verlinkt ist; auch ein QR-Code kann als Link für diesen Zweck tauglich sein.
  • Medienbrüche im Ablauf und andere für Kunden unzumutbare Hürden können verhindern, dass AGB wirksam in Verträge eingebunden werden.

Er braucht nicht technisch sicherzustellen, dass der Partner die AGB auch tatsächlich gelesen hat. Der Weg einer möglichen Kenntnisnahme muss für den Vertragspartner aber zumutbar sein. Bei Ladengeschäften ist es vielfach üblich, dass die AGB vor Ort aushängen. Welche anderen zumutbaren Möglichkeiten es genau gibt, die insbesondere für Onlinekunden als zumutbar gelten dürfen, hat der Gesetzgeber nicht definiert.


Das war die Leseprobe unseres heise-Plus-Artikels „Allgemeine Geschäftsbedingungen: Verlinkt heißt nicht immer vereinbart“.
Mit einem heise-Plus-Abo können Sie den ganzen Artikel lesen.



Source link

Weiterlesen

Künstliche Intelligenz

OLG: Störerhaftung bleibt zulässig – Google muss Phishing-Anzeigen stoppen


Die im deutschen Recht verankerte Störerhaftung ist mit dem Digital Services Act (DSA) der EU vereinbar. Das hat das Oberlandesgericht Düsseldorf (OLG) in einer Sitzung am 2. September in einem in einem Eilverfahren zwischen der Stuttgarter Firma Skinport und Google Irland entschieden (Az.: I-20 U 16/25). In dem heise online vorliegenden Protokoll des öffentlichen Termins weist der zuständige 20. Zivilsenat darauf hin, dass nach seiner Auffassung Artikel 6 DSA „die bisherige aufgrund der Vorgängervorschriften in der E-Commerce-Richtlinie praktizierte Störerhaftung weiter“ zulasse.

Das OLG bestätigt damit die vom Landgericht in erster Instanz im Januar erlassene einstweilige Verfügung gegen Google. Der Internetriese muss demnach als Betreiber von Google Ads von Dritten geschaltete Anzeigen überprüfen, um unzulässige, gemeldete Phishing-Versuche auch künftig zu unterbinden. Zugleich hat der Betreiber des Werbedienstes zu verhindern, dass Betrüger „kerngleiche“ – also ähnlich gestrickte – Anzeigen über ihn schalten können. Denn in solchen Fällen haftet Google als Störer nach dem DSA.

Der Online-Marktplatz für sogenannte Skins wie Waffen mit unterschiedlichen Texturen für Counter Strike 2 ist damit auch in zweiter Instanz erfolgreich gegen unzulässige Phishing-Werbeanzeigen über Google Ads vorgegangen. Bei der umstrittenen, mit Skinport gekennzeichneter Reklame führte die Ziel-URL zu einer Nachbildung der Webseite des Store-Betreibers. Dadurch sollen Zahlungs- und Logindaten von Steam-Accounts abgegriffen worden sein.

Die OLG-Kammer stellte auch klar, dass es in dem Streit um die einstweilige Verfügung nicht möglich sei, den Europäischen Gerichtshof (EuGH) einzubinden und um eine Grundsatzklärung zur Auslegung von Artikel 6 DSA zu bitten. Das wäre gegebenenfalls in einem etwaigen Hauptsacheverfahren nachzuholen. Aktuell sei die Rechtsfrage aber „jedenfalls hinreichend sicher im Sinne des Landgerichts zu beantworten“. Google nahm die Berufung gegen die Entscheidung der niederen Instanz daraufhin zurück. Zum Hauptsacheverfahren und einer damit eröffneten EuGH-Vorlage dürfte es aber kommen.


(vbr)



Source link

Weiterlesen

Künstliche Intelligenz

Open-Source-Umstellung: Schleswig-Holsteins Digitalminister räumt Probleme ein


Schleswig-Holsteins Digitalminister Dirk Schrödter (CDU) hat in einem Brief an alle Landesmitarbeiter Fehler bei der laufenden Migration auf Open-Source-Software eingeräumt. Er entschuldigt sich darin laut dem NDR für die anstrengenden Wochen und die entstandenen Probleme. Schrödter sah in der Vergangenheit die Verantwortung auch bei den Mitarbeitern und betonte, dass man „Fahrradfahren nicht vom Zuschauen lernt“.

Mit dem Schreiben schlägt der Minister dem Bericht zufolge einen deutlich versöhnlicheren Ton an. Er dankte demnach den Verwaltungsangestellten, da ohne deren Unterstützung die Software-Umstellung nicht möglich sei. Schrödters bisherige Kommunikation war von Justiz, Strafverfolgung und der Opposition stark kritisiert worden. Unter anderem warf ihm der FDP-Politiker Bernd Buchholz einen „Führungsstil aus dem letzten Jahrhundert“ vor.

In dem Brief teilt Schrödter ferner mit, dass der landeseigene IT-Dienstleister Dataport jetzt mit einem größeren Team an der Lösung der Probleme arbeite. Bis dato seien bereits 35.000 von insgesamt 44.000 Mail-Postfächern erfolgreich auf Open-Xchange und Thunderbird migriert worden.

Zuvor hatte es Klagen aus der Belegschaft gegeben. Richter monierten, dass sie zeitweise nicht auf ihre E-Mails zugreifen konnten. Das sei besonders kritisch, da es in ihrem Alltag oft um eilige Vorgänge wie Haftanträge und Hausdurchsuchungen gehe. Die Gewerkschaft der Polizei (GdP) sprach bereits Mitte August von einem „Chaos“ im Innenministerium. Aus Polizeikreisen war zu hören, dass geplante Umstellungen kurzfristig abgesagt oder verschoben worden seien.

Obwohl die Opposition die Software-Wende grundsätzlich befürwortet, kritisiert sie ein schlechtes Management des Prozesses. Auch die Landesdatenschutzbeauftragte Marit Hansen mahnt zur Vorsicht. Sie empfiehlt, das Tempo zu drosseln und sich stärker mit anderen Bundesländern abzustimmen, anstatt als Vorreiter allein voranzupreschen. Zugleich betont die Kontrolleurin aber: „Monopole sind immer schwierig.“ Damit liefere sich die Verwaltung einem Anbieter wie Microsoft aus. Der Cloud Act ermögliche es US-Behörden zudem prinzipiell, auf Nutzerdaten von US-Unternehmen zuzugreifen, auch wenn sie auf Servern im Ausland lägen.

Trotz der Probleme plant Digitalminister Schrödter, bis Ende September fast alle Mail-Accounts umgestellt zu haben. Langfristig soll auch das Betriebssystem Windows auf allen Rechnern durch Open-Source-Alternativen wie +1.Linux ersetzt werden. Schrödter selbst nutzt bereits ein solches System mit freier Software.

In München konnte Microsoft nach 14 Jahren Auszeit 2017 wieder „fensterln“. Mit der Mehrheit der damaligen rot-schwarzen Koalition beschloss der Stadtrat damals, bis 2020 wieder auf Windows umzustellen und den Ausflug in die Linux-Welt mit dem einstigen Open-Source-Prestigeprojekt LiMuxzu beenden. Mit ein Grund war die Unzufriedenheit von Mitarbeitern mit dem Wechsel. Die aktuelle grün-rote Koalition hat sich freier Software mit einem 5-Punkte-Programm wieder angenähert.


(mki)



Source link

Weiterlesen

Beliebt