WinRAR-sikkerhedshul gennem 19 år er fundet, udnyttet og patchet

Illustration: Yurich84/Bigstock
WinRAR har i samtlige versioner igennem de seneste 19 år haft et alvorligt sikkerhedshul - allerede en uge efter opdagelsen har flittige hackere fundet måder at udnytte det på.

Et nyligt fundet WinRAR-sikkerhedshul tillader en hacker at gennemgøre angreb via WinRAR-filer. Sikkerhedshullet har eksisteret i samtlige WinRAR versioner over de seneste 19 år. Allerede en uge efter fundet er der fundet 100 forskellige forsøg på at udnytte sikkerhedsbristen. Det skriver Ars Technica

Sidste måned offentliggjorde Check Point Research et interessant fund. Det viste, at det er muligt for hackere at installere skjulte og skadelige programmer, når et offer åbner en komprimeret zip-fil med WinRAR – eller nærmere bestemt når de åbner den med enhver version af WinRAR udgivet i løbet af de seneste 19 år.

I torsdags rapporterede McAfee, at der, allerede en uge efter sikkerhedshullet blev offentliggjort, eksisterer over 100 unikke exploits. Størstedelen af målene befandt sig i USA.

WinRAR-brugere anbefales at opdatere til version 5.70 , da alle tidligere versioner er kompromitterede.

Tips og korrekturforslag til denne historie sendes til tip@version2.dk
Kommentarer (4)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
Troels Henriksen

Det mest absurde for mig er at sikkerhedshullet befandt sig i noget tredjepartskode, UNACEV2.DLL, som ikke er blevet opdateret siden 2005 og som man ikke havde kildeteksten til. Det virker helt uansvarligt. Måske er jeg naiv, men det virker oplagt ikke at have en afhængighed af en binær klat der ikke længere vedligeholdes.

Sikkerhedsrettelsen består i at fjerne denne afhængighed, men det er fjorten år for sent.

  • 2
  • 1
Sune Marcher

WinRAR-brugere anbefales at opdatere til 7zip.org :-P

Hvorfor I himlen skulle man bruge WinRAR?


Hvis man har simple behov, er der i dag ikke den store grund til at vælge WinRAR.

Bevares, user interfacet er en smule bedre end 7-Zip, og (sidst jeg kiggede) var der også bedre commandline muligheder. Jeg havde en årrække et udmærket backup setup med ugentlige full backups og derudover incremental backups via WinRAR.

At WinRAR er forholdsvist populært (hvilket er grunden til CheckPoint kiggede efter sårbarheder) er nok historisk - der var ikke så meget open source var ikke super udbred da RAR i første omgang kom frem, og det var meget bedre end alternativerne (primært arj og lha) både i forhold til compression ratio og user interface. Specielt i DOS dagene var RAR milepæle foran mht. UI.

Måske er jeg naiv, men det virker oplagt ikke at have en afhængighed af en binær klat der ikke længere vedligeholdes.

Sikkerhedsrettelsen består i at fjerne denne afhængighed, men det er fjorten år for sent.


Bumbum.

Softwarelandskabet var noget anderledes for fjorten år siden. Derudover er det en optional plugin (omend distribueret med WinRAR by default) som man som bruger kan fjerne.

For et 3.partsprogram der ikke er direkte internetvendt er binære plugins IMHO stadig en fair nok model, hvis man ikke er fanatisk og synes alting skal være opensource. Yeah, jeg er selv tilhænger af opensource, men bugs bliver ikke fixed før de bliver fundet, og selv for højprofil opensource projekter bliver der fundet bugs der har været exploitable i 10+ år.

Mennesker er ikke ufejlbarlige, software sucks. Det mest interessant i denne historie er nok at udviklerne bag et stykke closed-source software er jævnt hurtige til at reagere på en bug report, og vælger helt at droppe support af en feature i stedet for at vride hænder og sige "det kan vi ikke, der er kunder måske bruger det".

  • 0
  • 0
Log ind eller Opret konto for at kommentere
IT Company Rank
maximize minimize