К основному контенту

Уязвимость в WinRAR существовала 19 лет и угрожает 500 млн пользователей

Специалисты компании Check Point сообщили о серьезной уязвимости в WinRAR и продемонстрировали эксплуатацию проблемы. Исследователи предупреждают, что всем 500 млн пользователей WinRAR может угрожать опасность, так как найденная проблема существует примерно 19 лет. Нужно отметить, что разработчики WinRAR уже устранили баг в прошлом месяце и выпустили исправленную версию.
Логический баг, найденный аналитиками, связан со сторонней библиотекой UNACEV2.DLL, которая входит в состав практически всех версий архиватора с незапамятных времен. Данная библиотека не обновлялась с 2005 года и отвечает за распаковку архивов формата ACE. Учитывая возраст библиотеки, совсем неудивительно, что исследователи Check Point обнаружили связанные с ней проблемы.
Оказалось, что можно создать специальный архив ACE, который при распаковке сможет поместить вредоносный файл в произвольном месте, в обход фактического пути для распаковки архива. К примеру, таким образом исследователям удалось поместить малварь в директорию Startup, откуда вредонос будет запускаться при каждом включении и перезагрузке системы. Ниже можно увидеть proof-of-concept видео, опубликованное экспертами.

Найденные специалистами проблемы (CVE-2018-20250, CVE-2018-20251, CVE-2018-20252 и CVE-2018-20253 ) были устранены с релизом  WinRAR 5.70 Beta 1, в январе текущего года. Так как доступ к исходным кодам UNACEV2.DLL оказался давно утрачен, было принято решение отказаться от поддержки формата ACE вовсе.
Специалисты настоятельно рекомендуют пользователям как можно скорее установить обновления, а также проявить бдительность и до установки патчей не открывать архивы ACE, полученные от неизвестных источников (например, от незнакомцев по почте).
В своем отчете исследователи отмечают, что за подобные баги и эксплоиты для них компании, подобные Zerodium (то есть брокеры уязвимостей), готовы платить большие деньги. Например, Zerodium покупает эксплоиты для 0-day уязвимостей в популярных архиваторах за 100 000 долларов США.

Комментарии

Популярные сообщения из этого блога

Заработок в интернете без вложений – 15 лучших способов 2019 года без обмана и приглашений с выводом реальных денег Существует масса вариантов заработка в интернете без вложений. Наш эксперт проверил каждый из них и составил рейтинг из 27-ми самых эффективных способов 2019 года. По каждому способу вы найдете детальные инструкции, которые помогут вам заработать свои первые деньги в интернете уже сегодня. Также вас ждут советы как избежать мошенников в сети и не дать себя обмануть. Привет! Меня зовут Сергей. Свои первые деньги в интернете я заработал будучи школьником, когда мне было 15 лет. И это был заработок в интернете без вложений. Сейчас мне 21, я студент и, по-прежнему, зарабатываю деньги удаленно. За последние 6 лет я перепробовал массу способов заработка в сети и все, что вы прочтете ниже – не банальная теория, а реальная практика. В статье описывается не только мой опыт, но и опыт других, более успешных в каких-то видах заработка, людей. Материал получился объе
Huawei представила складной смартфон — Mate X Хотя Huawei заранее решила не показывать свой новый флагман P30 на Mobile World Congress (он будет представлен позже, 26 марта в Париже), компания обещала продемонстрировать в Барселоне «нечто небывалое». И сдержала обещание — помимо новых  тонких и мощных ноутбуков  компания рассказала о своём Mate X, конкуренте представленного недавно  изгибаемого Samsung Galaxy Fold . Накануне презентации кое-что об устройстве  уже было известно , но теперь — официальные данные. На фоне представленной сегодня новинки Samsung Galaxy Fold недельной давности уже смотрится устаревшим пережитком. Китайский аппарат тоньше, обходится одним экраном и одним массивом камер, предлагает больший по площади экран (как в сложенном, так и в раскрытом состоянии) и складывается без странных зазоров. Единый изгибаемый OLED-дисплей Mate X на деле выполняет тройную функцию. Когда устройство сложено, пользователь получает смартфон с двумя экранами (основным и тыль
Tenor Ukulele Strings Nylon Ukelele Bass String White Aquila Strings Ukuleles Carbon Fiber Guitar 4 Strings Musical Instruments Buy