Специалисты компании Check Point сообщили о серьезной уязвимости в WinRAR и продемонстрировали эксплуатацию проблемы. Исследователи предупреждают, что всем 500 млн пользователей WinRAR может угрожать опасность, так как найденная проблема существует примерно 19 лет. Нужно отметить, что разработчики WinRAR уже устранили баг в прошлом месяце и выпустили исправленную версию.
Логический баг, найденный аналитиками, связан со сторонней библиотекой UNACEV2.DLL, которая входит в состав практически всех версий архиватора с незапамятных времен. Данная библиотека не обновлялась с 2005 года и отвечает за распаковку архивов формата ACE. Учитывая возраст библиотеки, совсем неудивительно, что исследователи Check Point обнаружили связанные с ней проблемы.
Оказалось, что можно создать специальный архив ACE, который при распаковке сможет поместить вредоносный файл в произвольном месте, в обход фактического пути для распаковки архива. К примеру, таким образом исследователям удалось поместить малварь в директорию Startup, откуда вредонос будет запускаться при каждом включении и перезагрузке системы. Ниже можно увидеть proof-of-concept видео, опубликованное экспертами.
Найденные специалистами проблемы (CVE-2018-20250, CVE-2018-20251, CVE-2018-20252 и CVE-2018-20253 ) были устранены с релизом WinRAR 5.70 Beta 1, в январе текущего года. Так как доступ к исходным кодам UNACEV2.DLL оказался давно утрачен, было принято решение отказаться от поддержки формата ACE вовсе.
Специалисты настоятельно рекомендуют пользователям как можно скорее установить обновления, а также проявить бдительность и до установки патчей не открывать архивы ACE, полученные от неизвестных источников (например, от незнакомцев по почте).
В своем отчете исследователи отмечают, что за подобные баги и эксплоиты для них компании, подобные Zerodium (то есть брокеры уязвимостей), готовы платить большие деньги. Например, Zerodium покупает эксплоиты для 0-day уязвимостей в популярных архиваторах за 100 000 долларов США.
We're still paying up to $100,000 for #0day exploits (code execution) affecting major file archivers: WinRAR, 7-Zip, WinZip (on Windows) or tar (on Linux). For more information: https://t.co/fKnggJyb0H #BigBounties
— Zerodium (@Zerodium) October 18, 2018
