快讯 | WinRAR 被曝存在遗留19年的漏洞,影响全球多达5亿用户

栏目: C++ · 发布时间: 5年前

内容简介:WinRAR 可能是目前全球用户最多的解压缩软件了,号称拥有5亿用户,在绝大多数装机必备软件清单中几乎都能看到它的存在。近期,WinRAR被发现存在严重的代码执行漏洞,并且已经存在了长达19年的时间。根据Check Point研究人员的说法,该问题是因UNACEV2.dll代码库中的一个深藏已久的漏洞引起的,而且该代码库从2005年以来就一直没有被主动使用过。据了解,该代码库用于解析ACE格式,这是一种可以追溯到20世纪90年代常用的压缩格式。

WinRAR 可能是目前全球用户最多的解压缩软件了,号称拥有5亿用户,在绝大多数装机必备软件清单中几乎都能看到它的存在。近期,WinRAR被发现存在严重的代码执行漏洞,并且已经存在了长达19年的时间。

快讯 | WinRAR 被曝存在遗留19年的漏洞,影响全球多达5亿用户

根据Check Point研究人员的说法,该问题是因UNACEV2.dll代码库中的一个深藏已久的漏洞引起的,而且该代码库从2005年以来就一直没有被主动使用过。据了解,该代码库用于解析ACE格式,这是一种可以追溯到20世纪90年代常用的压缩格式。

攻击者可以制作一个恶意的ACE文件,当被WinRAR 打开的时候,会利用UNACEV2.dll中的路径遍历漏洞欺骗归档 工具 将文件解压到攻击者选择的路径中。研究人员试图将ACE 恶意文件放到启动文件夹中以便在系统启动时执行。

1.C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp
2.C:\Users\\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup

在第一个Startup文件夹中,WinRAR需要高权限才能访问,而WinRAR 默认是无法访问的。而在第二个Startup文件夹中,只需要知道用户名就可以知道完整路径,无论是通过邮件钓鱼还是其他方式,这些都是比较容易实现的。

快讯 | WinRAR 被曝存在遗留19年的漏洞,影响全球多达5亿用户 快讯 | WinRAR 被曝存在遗留19年的漏洞,影响全球多达5亿用户

简而言之,该漏洞允许安全研究人员将恶意文件直接放到Windows启动文件夹中,直接绕过提升权限运行WinRAR的过程。这样一来,而恶意文件将在每次系统启动的时候自动运行,致使用户计算机暴露在攻击者的控制之中。演示视频如下:

在研究人员向WinRAR通报这个漏洞之后,官方对此也进行了回应表示,WinRAR使用这个第三方库来解压缩ACE格式,自2005年以来UNACEV2.DLL尚未更新,无法访问其源代码。因此WinRAR决定放弃ACE格式支持以保护用户的安全。

目前在最新版本的WinRAR(v.5.70 beta 1)中,WinRAR已经放弃了对ACE格式的支持,从而消除该漏洞。因此建议使用旧版本WinRAR 软件的用户及时更新。需要注意的是,目前访问WinRAR 官网下载的依然是 v5.6.1的旧版本,故这里放出修复漏洞的版本 WinRAR 5.70 Beta1 下载地址:

https://www.win-rar.com/affdownload/download.php

*参考来源: CheckPoint ,本文作者 shidongqi,转载请注明来自FreeBuf.COM


以上所述就是小编给大家介绍的《快讯 | WinRAR 被曝存在遗留19年的漏洞,影响全球多达5亿用户》,希望对大家有所帮助,如果大家有任何疑问请给我留言,小编会及时回复大家的。在此也非常感谢大家对 码农网 的支持!

查看所有标签

猜你喜欢:

本站部分资源来源于网络,本站转载出于传递更多信息之目的,版权归原作者或者来源机构所有,如转载稿涉及版权问题,请联系我们

大师之路

大师之路

赵鹏 / 人民邮电出版社 / 2007-12 / 79.00元

《大师之路:Photoshop中文版完全解析》以介绍Photoshop选区、图层、路径3大基础为主线,从色彩原理入手,注重基础知识,辅以大量实例,全面剖析了Photoshop的应用。对于其他内容,如色彩调整和各类工具的应用,也均采用与实际操作相结合的方式进行讲解。另外,还简单明了地介绍了扩展应用的领域。所附教学光盘的内容可自成一套独立的视频教学体系。本书完全按照初学者的认知角度编写,重点介绍图像原......一起来看看 《大师之路》 这本书的介绍吧!

XML、JSON 在线转换
XML、JSON 在线转换

在线XML、JSON转换工具

XML 在线格式化
XML 在线格式化

在线 XML 格式化压缩工具

RGB CMYK 转换工具
RGB CMYK 转换工具

RGB CMYK 互转工具