WinRARに脆弱性報告、遠隔操作される恐れ

現時点で修正版は公開されておらず、セキュリティ研究者はファイルを慎重に取り扱うようアドバイスしている。

[ITmedia]

　Windowsなどで利用されている圧縮・解答ツール「WinRAR」で、遠隔から任意のコードを実行されてしまう脆弱性情報が公表された。既にコンセプト実証コード（PoC）も公開されたが、10月1日時点で修正版は公開されていない。

　ESETのセキュリティニュースサイト「welivesecurity」によると、脆弱性はイラン・ヤスド大学の研究者モハンマド・エスパラガム氏が報告したもの。WinRAR SFX v5.21のself-extracting（SFX）モジュールに存在する。攻撃者は、脆弱性を悪用して不正なHTMLコードを含む圧縮ファイルを作成し、ユーザーにこのファイルを開かせることで、遠隔から任意のコードを実行できてしまうという。

研究者が公開した実証動画

　エスパラガム氏によれば、脆弱性の影響度は深刻レベルにあたり、共通脆弱性評価システム（CVSS）による分析では深刻度を9.2（最大値は10.0）だとしている。同氏は脆弱性のPoCや実証動画も公開した。

　これを受けてWinRARの開発元は、ユーザーにSFXモジュールの特徴などを説明するWebページを公開。同モジュールを利用するシーンは実際には限られるとしたほか、こうした問題に関係なく「ユーザーは常に信頼できるソースから入手すべきだ」と主張している。

開発元の声明