Thema der Woche

04. Februar 2004

Risiken durch "Archivbomben"

Eine besondere Form logischer Bomben ist in letzter Zeit verstärkt ins Visier der Experten geraten: Komprimierte Dateien, die beim Auspacken zu riesig großen Datenmengen anschwellen, durch die Virenscanner oder andere Software "überfordert" sind. Bereits im Herbst letzten Jahres gab Steve Wray in einer Mailingliste Hinweise auf eine "bzip2"-Bombe; im Januar 2004 wurde öffentlich, dass entsprechende Dateien Virenscanner zum Absturz bringen können. Die Münchner [externer Link] AERAsec Network Services and Security GmbH hat jetzt weitere Untersuchungen zum Thema auf andere Applikationen ausgedehnt und festgestellt, dass auch dort Angriffspunkte bestehen.

Längst nicht alle Softwarehersteller berücksichtigen in ihren Produkten, dass eine Datei von 5828 Byte entpackt auf 100 Gigabyte anwachsen kann. Beispielsweise "fressen" einige Web-Browser bei der Darstellung gepackter HTML-Daten, die sich zu Monsterseiten aufblähen, jeglichen verfügbaren virtuellen Speicherplatz. Doch auch Bilddateien können komprimierte Daten enthalten und gleichermaßen für Probleme sorgen: Aus einem 25 kByte großen GIF können ohne weiteres 100 MByte Bildgröße erwachsen und für Abstürze von Browsern oder Bildbearbeitungssoftware sorgen. AERAsec hat in seinem [externer Link] Advisory auch einige Viren-Scanner aufgeführt, die weiterhin angreifbar sind. Das Unternehmen stellt über Links im Advisory für eigene Tests Beispiele logischer Archivbomben (decompression bombs) zum Download zur Verfügung.