Пользователям WinRAR угрожает 19-летняя уязвимость

Баг найден в библиотеке WinRAR для работы с архивами ACE и позволяет распаковать файлы в произвольную папку.

Уязвимость в WinRAR обнаружили исследователи компании Check Point. Брешь в сторонней библиотеке unacev2.dll затрагивает все версии программы и дает возможность провести атаку методом обхода каталога (Path Traversal). Как выяснилось, брешь крылась в архиваторе на протяжении 19 лет и угрожает 500 млн пользователей.

Библиотека unacev2.dll отвечает за работу с ACE-файлами и не обновлялась с 2005 года. Успешная эксплуатация бага позволяет распаковать содержимое в произвольную директорию системы, игнорируя указанный пользователем путь. Таким образом, злоумышленники могут, к примеру, помещать вредоносные программы в каталог автозагрузки. Уязвимость основана на четырех багах, которым присвоены идентификаторы с CVE-2018-20250 по CVE-2018-20253.

Эксперты сообщили о проблеме представителям WinRAR, но разработчики ответили, что не могут закрыть брешь. Дело в том, что у них нет доступа к исходному коду библиотеки, а создатель формата, немецкая компания E-merge, больше не поддерживает свои продукты. По сведениям аналитиков, их сайт http://www.winace[.]com не функционирует с 2017 года.

В связи с этим разработчики архиватора решили прекратить поддержку расширения и 28 января выпустили WinRAR 5.70 Beta 1, который не работает с этим форматом. Всем пользователям рекомендуется обновить программу, а владельцам старых версий не открывать файлы ACE из подозрительных источников.

Как показало недавнее исследование компании Avast, 55% ПО на устройствах пользователей является устаревшим. Примечательно, что в числе наиболее проблемных утилит назван WinRAR. Вместе с тем он входит в пятерку самых популярных программ — архиватор был установлен почти на половине из 163 млн компьютеров, с которых эксперты получили данные.

Ваш голос учтён!

нравится

не нравится

Рейтинг:

0

Всего голосов: 0

Новые материалы в Разное:

RuStore открыл доступ иностранным разработчикам   // 08 февраля

CISA опубликовало декриптор в помощь жертвам шифровальщика ESXiArgs   // 08 февраля

Google обещает блюрить непристойные и жестокие картинки поиска   // 08 февраля

Бизнес предлагает продавать алкоголь по 2FA   // 08 февраля