Decompression and Archive Extraction Vulnerabilities: A Taxonomy of 21 Attack Mechanisms Across 1,067 Public Cases (2001–2026)
Diese Arbeit präsentiert eine einheitliche Taxonomie von 21 Angriffsmechanismen und ein gekennzeichnetes Inventar von 1.067 öffentlichen Fällen (2001–2026), um Dekompressions- und Archivextraktionsschwachstellen umfassend zu klassifizieren, wobei aufgezeigt wird, dass Path Traversal die Landschaft dominiert, während gleichzeitig signifikante Lücken in der Dokumentation von Gegenmaßnahmen hervorgehoben und neue Ressourcen für die zukünftige Forschung angeboten werden.
Originalarbeit lizenziert unter CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Jeden Tag vollzieht Software einen stillen, essenziellen Akt: Sie öffnet digitale Pakete. Ob ein Nutzer eine Datei herunterlädt, eine Anwendung installiert oder einen E-Mail-Anhang erhält – der Computer muss komprimierte Daten entpacken, um sie nutzbar zu machen. Dieser Prozess, bekannt als Dekomprimierung, ist der Schlüssel, der den Inhalt eines digitalen Archivs erschließt. Doch der Mechanismus, der diese Pakete öffnet, kann manchmal auf gefährliche Weise versagen. Wenn ein Angreifer eine speziell gestaltete Datei sendet, kann die Software getäuscht werden, sodass sie aus einem winzigen Input eine massive Menge an Daten erzeugt, was das System zum Absturz bringt. Sie könnte gezwungen werden, Dateien in die falschen Ordner zu schreiben und dabei kritische Systemdaten zu überschreiben. Oder die Software könnte schlichtweg die Struktur der Datei missverstehen, was zu einem Zusammenbruch führt. Diese Ausfälle sind keine seltenen Glitches; sie sind eine beständige Klasse von Sicherheitslücken, die alles bedrohen, vom persönlichen Computer bis hin zu den Servern, die das Internet betreiben.
Ein Forscher namens Eugen Spivak hat Jahre damit verbracht, die öffentlichen Aufzeichnungen dieser Ausfälle zu untersuchen, um zu verstehen, wie genau sie geschehen. Durch die Analyse von über tausend dokumentierten Fällen von Software-Schwachstellen hat Spivak eine neue Landkarte des Problems erstellt. Anstatt jeden Fehler als ein einzigartiges Ereignis zu behandeln, gruppiert die Studie sie in einundzwanzig unterschiedliche Angriffsmethoden. Diese Methoden fallen in vier Hauptkategorien: Situationen, in denen der Output weit größer als der Input wird, Fehler, bei denen die Software die Dateistruktur falsch liest, Ausfälle, bei denen verschiedene Teile des Systems dieselbe Datei unterschiedlich interpretieren, und Fehler, bei denen die Software Dateien an den falschen Ort speichert. Das Ziel war es, über eine verstreute Sammlung einzelner Fehlerberichte hinauszugehen und ein klares, einheitliches Bild davon zu schaffen, wie diese Angriffe funktionieren.
Die Studie analysierte 1.067 öffentliche Fälle dieser Schwachstellen, die zwischen 2001 und September 2026 aus offiziellen Datenbanken gesammelt wurden. Die auffälligste Erkenntnis ist, dass der häufigste Fehler kein komplexer mathematischer Trick oder ein tiefer Speicherfehler ist, sondern ein einfacher Fehler beim Speichern von Dateien. In fast 70 Prozent der Fälle extrahierte die Software Dateien in den falschen Ordner, was es einem Angreifer ermöglichte, wichtige Systemdateien zu überschreiben oder Schadcode zu platzieren. Diese spezifische Art von Fehler, oft als „Path Traversal“ bezeichnet, tritt auf, wenn die Software das Ziel einer Datei nicht ordnungsgemäß prüft, bevor sie diese schreibt. Die Forschung zeigt, dass dieses Problem meist nicht in den Kernbibliotheken liegt, die das Entpacken durchführen, sondern in dem Anwendungscode, der diese Bibliotheken nutzt. Mit anderen Worten: Die Werkzeuge selbst sind oft sicher, aber die Programme, die die Werkzeuge aufrufen, vergessen häufig, die entsprechenden Grenzen zu setzen.
Ein weiterer bedeutender Teil der Fälle betrifft „Decompressionsbomben“ (Dekompressionsbomben). Dies sind Dateien, die darauf ausgelegt sind, sich zu etwas Enormem auszudehnen und so den Speicher oder den Speicherplatz des Computers zu überfordern. Die Studie fand heraus, dass in vielen dieser Fälle eine Sicherheitsprüfung vorhanden war, die Prüfung jedoch unvollständig war. Es wurde möglicherweise einer innerhalb der Datei deklarierten Zahl vertraut, oder die Prüfung wurde nach einem bestimmten Punkt im Prozess gestoppt. Das bedeutet, dass die Verteidigung existierte, aber nicht jeden möglichen Pfad berücksichtigen konnte, den die Daten nehmen könnten. Die Forschung stellte auch eine Verschiebung in der Art und Weise fest, wie diese Angriffe eintreffen. Während viele noch als Dateien oder Pakete kommen, werden immer mehr nun als Nachrichten über das Netzwerk versendet, die direkt auf Server und Online-Dienste abzielen.
Trotz der Häufigkeit dieser Probleme sind die öffentlichen Aufzeichnungen, die sie beschreiben, oft vage. Die Studie ergab, dass in nur etwa 8 Prozent der Fälle der offizielle Bericht explizit beschrieb, was die Behebung tatsächlich bewirkt hat. Die meisten Datensätze gaben lediglich an, dass eine neue Version der Software verfügbar sei, ohne zu erklären, welche spezifische Änderung sie sicher gemacht hat. Dieser Mangel an Details erschwert es Sicherheitsteams, die Ursache zu verstehen und ihre Systeme zu schützen. Darüber hinaus hob die Studie hervor, dass die offiziellen Aufzeichnungen oft eine ganze Kategorie von Fehlern übersehen, bei denen zwei verschiedene Softwareprogramme dieselbe Datei auf unterschiedliche Weise lesen. Diese „semantischen Lassen“ (semantic gaps) sind in öffentlichen Berichten schwer zu erkennen, stellen aber in der Praxis eine reale Bedrohung dar.
Die Daten zeigten auch einen starken Anstieg der Anzahl dieser Berichte im Jahr 2026. Der Forscher merkt jedoch vorsichtig an, dass dieser Anstieg die Art und Weise widerspiegelt, wie Schwachstellen gefunden und gemeldet werden, und nicht unbedingt eine plötzliche Explosion der im freien Internet auftretenden Angriffe darstellt. Der Anstieg könnte auf bessere Erkennungswerkzeuge, Änderungen in der Kennzeichnung von Berichten oder eine Verschiebung in der Terminologie zurückzuführen sein. Sicher ist, dass die geprüfte Aufzeichnung einen klaren Trend zeigt: Die häufigsten und gefährlichsten Ausfälle sind jene, bei denen die Software Dateien an den falsten Ort schreibt, und diese Fehler liegen am häufigsten in der Anwendungsschicht, die die Extraktionswerkzeuge umschließt.
Die Studie schließt mit einer Reihe praktischer Empfehlungen für die Menschen ab, die Software bauen und warten. Sie schlägt vor, dass Entwickler von Bibliotheken klar dokumentieren sollten, wogegen ihre Werkzeuge schützen und wofür nicht; zudem müssen Anwendungsentwickler die Verantwortung dafür übernehmen, zu prüfen, wo Dateien gespeichert werden. Sie fordert zudem bessere Berichterstattungsstandards und drängt darauf, dass Sicherheitswarnungen explizit angeben, was die Behebung bewirkt, anstatt nur auf eine neue Version zu verweisen. Durch diese Änderungen kann die Branche von einer reaktiven Haltung der Behebung einzelner Bugs zu einem proaktiven Ansatz des Verständnisses und der Prävention der zugrunde liegenden Mechanismen übergehen. Die Arbeit erhebt nicht den Anspruch, das Problem gelöst oder jeden möglichen Schutz getestet zu haben, aber sie liefert die erste umfassende Karte des Geländes und zeigt genau auf, wo der Boden am wahrscheinlichsten nachgeben wird.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.