Windowsなどで利用されている圧縮・解答ツール「WinRAR」で、遠隔から任意のコードを実行されてしまう脆弱性情報が公表された。既にコンセプト実証コード(PoC)も公開されたが、10月1日時点で修正版は公開されていない。
ESETのセキュリティニュースサイト「welivesecurity」によると、脆弱性はイラン・ヤスド大学の研究者モハンマド・エスパラガム氏が報告したもの。WinRAR SFX v5.21のself-extracting(SFX)モジュールに存在する。攻撃者は、脆弱性を悪用して不正なHTMLコードを含む圧縮ファイルを作成し、ユーザーにこのファイルを開かせることで、遠隔から任意のコードを実行できてしまうという。
エスパラガム氏によれば、脆弱性の影響度は深刻レベルにあたり、共通脆弱性評価システム(CVSS)による分析では深刻度を9.2(最大値は10.0)だとしている。同氏は脆弱性のPoCや実証動画も公開した。
これを受けてWinRARの開発元は、ユーザーにSFXモジュールの特徴などを説明するWebページを公開。同モジュールを利用するシーンは実際には限られるとしたほか、こうした問題に関係なく「ユーザーは常に信頼できるソースから入手すべきだ」と主張している。
関連記事
- 第27回 解凍パスワードは続けてメールします
みなさんの会社に、「ファイルをメールで送る際」のルールはありますか? 「解凍パスワードは別メールで送ります」ってこと、ありますよね。実はこれ、“ここ変”です。 - 圧縮アルゴリズム「LZO」に脆弱性、20年前から存在
脆弱性は、1994年から繰り返し再利用され続けてきたコードに存在していたという。
関連リンク
Copyright © ITmedia, Inc. All Rights Reserved.