Lỗ hổng WinRAR ảnh hưởng đến tất cả các phiên bản phát hành trong 19 năm
04/04/2019
Một lỗ hổng RCE (cho phép thực thi mã từ xa) nguy hiểm mới được phát hiện trong phần mềm WinRAR, ảnh hưởng đến hàng trăm triệu người dùng trên toàn thế giới.
Các nhà nghiên cứu về an ninh mạng đã tiết lộ chi tiết kỹ thuật về lỗ hổng nghiêm trọng trong WinRAR – một ứng dụng nén/giải nén tệp tin Windows phổ biến với 500 triệu người dùng trên toàn thế giới, lỗ hổng này ảnh hưởng đến tất cả các phiên bản phần mềm được phát hành trong 19 năm qua.
Lỗ hổng nằm trong một thư viện của bên thứ ba đã bị lỗi thời, được gọi là UNACEV2.DLL, thư viện này được sử dụng để xử lý trích xuất các tệp được nén ở định dạng ACE.
Tuy nhiên, vì WinRAR phát hiện định dạng theo nội dung của tệp chứ không dựa trên phần mở rộng cho nên kẻ tấn công có thể thay đổi phần mở rộng .ace thành phần mở rộng .rar để làm cho nó trông giống như bình thường.
Cách thức tấn công
Lỗi “Absolute Path Traversal” đã được tìm thấy trong thư viện được cho là điểm mấu chốt để các tin tặc có thể thực thi mã tùy ý trên một hệ thống được nhắm mục tiêu. Việc này cho phép giải nén một tệp tin nén lưu trữ các phần mềm độc hại sử dụng các phiên bản phần mềm có tồn tại lỗ hổng.
Lỗ hổng Path Traversal cho phép kẻ tấn công giải nén các tệp nén vào thư mục mà chúng chọn thay vì thư mục do người dùng chọn, tạo ra cơ hội lây nhiễm mã độc vào thư mục Windows Startup – nơi sẽ tự động chạy trong lần khởi động lại tiếp theo. Như được trình bày trong video, để kiểm soát hoàn toàn các máy tính được nhắm mục tiêu, tất cả những gì kẻ tấn công cần làm là thuyết phục người dùng mở tệp tin nén độc hại được tạo thủ công bằng WinRAR.
Do đội ngũ WinRAR đã mất mã nguồn của thư viện UNACEV2.dll vào năm 2005, nên giờ đây họ đã quyết định loại bỏ luôn UNACEV2.dll khỏi gói cung cấp để khắc phục sự cố và phát hành phiên bản WINRar 5.70 beta 1 không hỗ trợ định dạng ACE.
Tuy nhiên, để tránh bị tấn công, người dùng Windows nên cài đặt phiên bản WinRAR mới nhất càng sớm càng tốt và tránh mở các tệp tin nén được nhận được từ các nguồn không xác định.
Lỗ hổng nằm trong một thư viện của bên thứ ba đã bị lỗi thời, được gọi là UNACEV2.DLL, thư viện này được sử dụng để xử lý trích xuất các tệp được nén ở định dạng ACE.
Tuy nhiên, vì WinRAR phát hiện định dạng theo nội dung của tệp chứ không dựa trên phần mở rộng cho nên kẻ tấn công có thể thay đổi phần mở rộng .ace thành phần mở rộng .rar để làm cho nó trông giống như bình thường.
Cách thức tấn công
Lỗi “Absolute Path Traversal” đã được tìm thấy trong thư viện được cho là điểm mấu chốt để các tin tặc có thể thực thi mã tùy ý trên một hệ thống được nhắm mục tiêu. Việc này cho phép giải nén một tệp tin nén lưu trữ các phần mềm độc hại sử dụng các phiên bản phần mềm có tồn tại lỗ hổng.
Lỗ hổng Path Traversal cho phép kẻ tấn công giải nén các tệp nén vào thư mục mà chúng chọn thay vì thư mục do người dùng chọn, tạo ra cơ hội lây nhiễm mã độc vào thư mục Windows Startup – nơi sẽ tự động chạy trong lần khởi động lại tiếp theo. Như được trình bày trong video, để kiểm soát hoàn toàn các máy tính được nhắm mục tiêu, tất cả những gì kẻ tấn công cần làm là thuyết phục người dùng mở tệp tin nén độc hại được tạo thủ công bằng WinRAR.
Do đội ngũ WinRAR đã mất mã nguồn của thư viện UNACEV2.dll vào năm 2005, nên giờ đây họ đã quyết định loại bỏ luôn UNACEV2.dll khỏi gói cung cấp để khắc phục sự cố và phát hành phiên bản WINRar 5.70 beta 1 không hỗ trợ định dạng ACE.
Tuy nhiên, để tránh bị tấn công, người dùng Windows nên cài đặt phiên bản WinRAR mới nhất càng sớm càng tốt và tránh mở các tệp tin nén được nhận được từ các nguồn không xác định.
Nguồn : securitydaily.net