Иранский исследователь Мохаммад Реза Испаргам (Mohammad Reza Espargham) из компании Vulnerability-Lab нашел крайне неприятный баг в популярнейшем архиваторе WinRAR. Уязвимость в WinRAR SFX v5.21 позволяет выполнить произвольный код на компьютере жертвы.

Озвученная Испаргамом цифра в полмиллиарда потенциальных жертв, скорее всего, несколько преувеличена. Дело в том, что баг, найденный в sfx-модуле, связан с функцией «Text and Icon» из раздела «Text to display in SFX window». Атакующий может внедрить туда вредоносный HTML или JavaScript, который сработает без участия пользователя, вместе с разархивацией файлов.

Однако нужно понимать, что речь идет о самораспаковывающихся архивах, то есть практически .exe-файлах. Скачивать и запускать подозрительные самораспаковывающиеся архивы из сети и открывать их, в целом плохая идея, даже без учета уязвимостей в WinRAR.

Испаргам, тем не менее, представил proof-of-concept видео:

Специалист ИБ-компании Malwarebytes Питер Арнц (Pieter Arntz) отметил в  блоге компании, что proof-of-concept, опубликованный на seclists.org, требует некоторых корректировок, чтобы он работал как надо. Возможно, он имел в виду конфликт версий Perl, возможно, что-то иное.

Исправления для уязвимости пока нет и, наверное, не будет. Команда разработчиков WinRAR вообще отказывается признать находку Испаргама «уязвимостью». Представитель разработчиков дал комментарий изданию ZDNet:

«Мы можем сказать, что ограничение функциональности sfx-модуля повредит только честным пользователям, которым действительно нужны HTML-функции. Но это не станет проблемой для злоумышленников, которые для своих нужд могут воспользоваться предыдущими версиями SFX-модулей, кастомными модулями из исходных кодов UnRAR, собственным кодом или заархивированными .exe-файлами. Мы только можем напомнить пользователям, что запускать .exe-файлы, будь это SFX-архив или что-то другое, стоит только тогда, когда они получены из доверенного источника».



2 комментария

  1. mikas

    01.10.2015 at 13:56

    Уязвимость в EXE ставит под угрозу все ПК на Windows!

  2. User384

    01.10.2015 at 23:21

    Более подробное, практическое применение: http://happy-hack.ru/news/14202-uyazvimost-v-sfx-arhive.html

Оставить мнение