PeaZip: Out-of-bounds-Write in PEA-Archiv-Extraktion ermöglicht Codeausführung
Zusammenfassung
PeaZip-Versionen 11.2.0 und älter enthalten einen Out-of-bounds-Write in der Routine zum Extrahieren von PEA-Archiven. Ein Angreifer, der einen Benutzer dazu bringt, ein präpariertes .pea-Archiv zu öffnen oder zu extrahieren, kann beliebigen Code mit den Rechten des angemeldeten Benutzers ausführen oder die Anwendung zum Absturz bringen. Es ist kein Passwort und keine nicht standardmässige Konfiguration nötig; die Korrektur des Herstellers ist in PeaZip 11.3.0 enthalten.
Betroffen
- PeaZip 11.2.0 und älter (CNA-Bereich: alle Versionen vor 11.3.0)
- Plattformen: Windows, macOS, Linux, BSD
- Standardkonfiguration ist betroffen
Behoben in
- PeaZip 11.3.0 oder neuer (Korrektur in Commit 90ddbae; laut einem Sekundärbericht ist 11.4.0 die aktuelle Linie)
- Backports auf ältere, gepflegte Zweige: Unbekannt.
Umgehung
- Keine vom Hersteller dokumentierte Massnahme.
- Keine .pea-Archive von unbekannten Absendern öffnen, bis PeaZip aktualisiert ist; für diese Dateien einen anderen Entpacker verwenden.
Ausnutzung
- Codeausführung soll von zwei unabhängigen Forschern demonstriert worden sein (Aussage des CNA, nicht unabhängig verifiziert).
- Kein öffentlicher Exploit oder PoC gefunden.
- Nicht im CISA-KEV-Katalog; keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- EPSS: 0.00129.
Unsere Empfehlung
- Alle Endgeräte mit installiertem PeaZip identifizieren, auch solche, die über Paketmanager oder Distributionsbauten installiert wurden.
- Auf PeaZip 11.3.0 oder neuer aktualisieren, nach Überprüfung der Version auf der Herstellerseite.
- PeaZip deinstallieren, wo es nicht benötigt wird.
- Bis zur Aktualisierung keine .pea-Dateien aus unsicheren Quellen öffnen.
- Auf ein öffentliches PoC oder einen KEV-Eintrag achten und NVD prüfen, sobald die Analyse abgeschlossen ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE record (Secur0 CNA) secur0.com
- Fix commit 90ddbae (GitHub) github.com
- VulDB CVE-2026-102514 vuldb.com
- OSV CVE-2026-102514 vulners.com
- Strix CVE summary www.strix.ai
- Nixpkgs issue 569359 github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 12:57.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.