Bitcoin Forum

Уязвимость в WinRAR ставит под угрозу порядка 500 млн пользователей
https://xakep.ru/2015/10/01/winrar-sfx-bug/

---

Иранский исследователь Мохаммад Реза Испаргам (Mohammad Reza Espargham) из компании Vulnerability-Lab нашел крайне неприятный баг в популярнейшем архиваторе WinRAR. Уязвимость в WinRAR SFX v5.21 позволяет выполнить произвольный код на компьютере жертвы.

Озвученная Испаргамом цифра в полмиллиарда потенциальных жертв, скорее всего, несколько преувеличена. Дело в том, что баг, найденный в sfx-модуле, связан с функцией «Text and Icon» из раздела «Text to display in SFX window». Атакующий может внедрить туда вредоносный HTML или JavaScript, который сработает без участия пользователя, вместе с разархивацией файлов.

Однако нужно понимать, что речь идет о самораспаковывающихся архивах, то есть практически .exe-файлах. Скачивать и запускать подозрительные самораспаковывающиеся архивы из сети и открывать их, в целом плохая идея, даже без учета уязвимостей в WinRAR.

Испаргам, тем не менее, представил proof-of-concept видео (https://www.youtube.com/watch?v=fo0l0oT4468)

Специалист ИБ-компании Malwarebytes Питер Арнц (Pieter Arntz) отметил в  блоге компании, что proof-of-concept, опубликованный на seclists.org, требует некоторых корректировок, чтобы он работал как надо. Возможно, он имел в виду конфликт версий Perl, возможно, что-то иное.

Исправления для уязвимости пока нет и, наверное, не будет. Команда разработчиков WinRAR вообще отказывается признать находку Испаргама «уязвимостью». Представитель разработчиков дал комментарий изданию ZDNet:

«Мы можем сказать, что ограничение функциональности sfx-модуля повредит только честным пользователям, которым действительно нужны HTML-функции. Но это не станет проблемой для злоумышленников, которые для своих нужд могут воспользоваться предыдущими версиями SFX-модулей, кастомными модулями из исходных кодов UnRAR, собственным кодом или заархивированными .exe-файлами. Мы только можем напомнить пользователям, что запускать .exe-файлы, будь это SFX-архив или что-то другое, стоит только тогда, когда они получены из доверенного источника».

Всегда недолюбливал эти самораспаковывающиеся архивы. Как оказалось, не зря.

Ну чтож, Winzip..  хотя Winrar всегда больше нравился

Очень странное заявление. Почему бы не признать проблему и не начать работать над ней.

я пользуюсь старым winRar-ом надеюсь в нем нет этой уязвимости?

паранойя - наше всё. мелкие файлы - на вирустотал. крупные - скан двумя-тремя антивирусами.   sfx архивы никогда не любил. сделай нормальный инсталятор или запакуй в зип чтобы штатный виндовый архиватор открыл.

А в винде раве есть штатный архиватор? в какой версии винды он появился?

Есть для zip, в семерке и дальше.

вин ХР и дальше. примерно в то время мелкомягкие купили на него все права и встроили в ОС

А зачем мелкомягким права было покупать? Если алгоритм архивации не секретный и не запатентован то пиши сам софт и используй алгоритм.

Этим ребятам проще купить  :-[

Ну если руки из *опы выросли то проще купить, гыгы.
А вобще самораспаковывающиеся архивы я тоже не использую.

кто-то ещё использует это дерьмо? Когда есть http://7-zip.org.ua/ru/

так то то и оно что не секретный, но запатентованый :)
и как сказад Gerhald "Этим ребятам проще купить"

это дерьмо встроено в винду уже 14 лет или около того. и выпилить его оттуда - это надо постараться :)
кроме того поддержка этого архива есть в большинстве (если вообще не во всех) ОС. хоть в винде хоть в никсах. про макосы не знаю