Сегодня 27 июня 2025
18+
MWC 2018 2018 Computex IFA 2018
реклама
Новости Software

Уязвимости WinRAR затронули сотни других программ, распространённых по всему миру

В минувшие выходные стало известно об уязвимости популярного архиватора WinRAR, которая была исправлена в новой версии 6.23. Впоследствии выяснилось, что до этого обновления у программы была другая уязвимость, которую эксплуатировали хакеры, и последствия этих ошибок могут оказаться серьёзными, поскольку уязвимости затрагивают и другое ПО.

Ранее стало известно, что архиватор WinRAR содержит уязвимость, которую злоумышленники могут использовать для выполнения произвольного кода — она отслеживается под номером CVE-2023-40477 и имеет рейтинг 7,8 из 10 (высокий). Проблема заключается в некорректной проверке данных в так называемых томах восстановления для архивов RAR, в результате чего вредоносный код получает доступ к области за пределами выделенного буфера памяти. Вредоносный код выполняется при попытке открыть такой специально подготовленный архив.

Спустя некоторое время эксперты Group-IB рассказали об уязвимости CVE-2023-38831 (рейтинг пока не присвоен), которая эксплуатируется с апреля неизвестной хакерской группировкой, которая выбрала в качестве жертв сотрудников брокерских контор. Данная уязвимость позволяет маскировать вредоносные скрипты под безобидные на первый взгляд файлы JPG и TXT, двойной клик по которым в архиве также запускает их на выполнение.

Обе уязвимости были исправлены. Компания Rarlab ответственна также за библиотеки unrar.dll и unrar64.dll, которые, вероятно, тоже уязвимы, и они входят в состав множества других программ. Повод для подозрений появился с обновлением не менее культового чем архиватор WinRAR файлового менеджера Total Commander: в замечаниях к сборке 11.01 RC1 указано, что исправлена критическая уязвимость библиотеки unrar.dll, и эту библиотеку при необходимости предлагается загрузить отдельно. Впоследствии разработчик программы Кристиан Гислер (Christian Ghisler) пояснил на форуме проекта: «Никто не знает, уязвим ли также unrar.dll, или это сам WinRAR. Но поскольку я в текущий момент готовлю выход TC 11.01, я в любом случае включу в него новые библиотеки unrar».

В немецком институте кибербезопасности AV-Test пояснили, что в их базе числятся более 400 программ, использующих unrar.dll и unrar64.dll, включая антивирусные программы. Вероятно, в ближайшее время эти библиотеки будут заменяться во всех обновлениях этих программ. Нельзя не вспомнить и Windows, чей «Проводник» вскоре должен получить встроенную поддержку архивов RAR. И здесь тоже есть нюанс: открытая библиотека от Rarlab написана на C++, а поддержка формата RAR «Проводником» реализуется на базе кода libarchive — эта библиотека использует собственную реализацию C. А значит, если уязвимость каким-то образом коснулась libarchive, компании Microsoft придётся закрыть её перед выходом общедоступного обновления Windows, где «Проводник» будет поддерживать RAR.

Источник:

Если вы заметили ошибку — выделите ее мышью и нажмите CTRL+ENTER.
Материалы по теме

window-new
Soft
Hard
Тренды 🔥
Российские геймеры не смогли зайти в Steam в разгар распродажи 2 ч.
Microsoft выведет антивирусное ПО за пределы ядра Windows, кардинально изменив безопасность ОС 2 ч.
Google Assistant скоро уступит место на Android-устройствах нейросети Gemini 2 ч.
Новый крупный патч добавил в Warhammer 40,000: Space Marine 2 режим «Осада» с бесконечными волнами тиранидов и еретиков 9 ч.
ИИ-поиск добрался до YouTube — в выдаче появились сгенерированные ИИ рекомендации и тексты 9 ч.
В Steam стартовала летняя распродажа с «морем скидок на игры всех жанров» 11 ч.
Легендарный сценарист Крис Авеллон присоединился к работе над амбициозной фэнтезийной RPG про борьбу с тоталитарным режимом 12 ч.
Продажи кооперативной игры Peak от авторов Content Warning и Another Crab's Treasure достигли новой вершины — два миллиона за девять дней 15 ч.
VK Tech представил Private Cloud Light — альтернативу зарубежным платформам виртуализации 16 ч.
ИИ-приложения теперь можно создавать прямо в чате с ботом Claude AI 16 ч.
Илон Маск уволил вице-президента Tesla по производству, которого называли его «правой рукой» 41 мин.
Фанаты Xbox 360 получили от Microsoft «мягкий» намёк о моральном устаревании своей консоли 2 ч.
В Китае стартовали продажи электрических кроссоверов Xiaomi YU7 по цене от $35 000 3 ч.
Новая статья: Обзор HUAWEI MatePad Pro 12.2’’ (2025): обновление планшета с лучшим экраном 8 ч.
«Аквариус» передал в залог структуре «Сбера» доли в двух компаниях 9 ч.
Xiaomi представила компактный планшет Redmi K Pad на флагманском процессоре по цене от $390 9 ч.
Хiaomi представила открытые наушники OpenWear Stereo Pro с пятью динамиками за $139 10 ч.
Китайская Loongson представила серверные процессоры 3C6000 — до 64 ядер и производительность Xeon четырёхлетней давности 10 ч.
Такого кризиса ещё не было: кадровый голод в производстве чипов достигнет миллиона специалистов к 2030 году 10 ч.
Xiaomi представила фитнес-браслет Smart Band 10 с автономностью до 21 дня и ценой от $37,5 10 ч.