RARLAB, popüler dosya arşivleme aracı WinRAR’daki yüksek öneme sahip bir RCE güvenlik açığını (CVE-2023-40477) düzeltti.
CVE-2023-40477 hakkında
Yalnızca Windows’ta yaygın olarak kullanılan bir yardımcı program olan WinRAR, çeşitli sıkıştırma biçimlerinde (RAR, ZIP, CAB, ARJ, LZH, TAR, GZip, UUE, ISO, BZIP2, Z ve 7-Zip) dosya arşivleri oluşturabilir ve çıkarabilir.
CVE-2023-40477, uzak tehdit aktörlerinin etkilenen bir WinRAR kurulumunda rasgele kod yürütmesine izin verebilecek bir uzaktan kod yürütme güvenlik açığıdır.
“Belirli kusur, kurtarma birimlerinin işlenmesinde var. Sorun, kullanıcı tarafından sağlanan verilerin uygun şekilde doğrulanmamasından kaynaklanmaktadır ve bu durum, ayrılan bir arabelleğin sonundan sonra bir bellek erişimine neden olabilir,” diye açıklıyor Zero Day Initiative güvenlik danışma belgesi.
Güvenlik açığından uzaktan yararlanılabilir ve saldırganların mevcut süreç bağlamında kod yürütmesine izin verebilir, ancak kusurun CVSS puanı (7.8) onu kritik olarak ayırmaz. Bunun ana nedeni, istismarın kullanıcı etkileşimi gerektirmesidir – ancak kullanıcıların e-posta veya başka yollarla gönderilen bubi tuzaklı bir RAR dosyasını indirip açmasını sağlamak çok zor değildir.
Ne yapalım?
Kolayca istismar edilebilen WinRAR güvenlik açıkları sık sık ortaya çıkmaz, ancak ortaya çıktıklarında saldırganlar dikkate alır.
Örnek olay: 2019’da, saldırganların kötü amaçlı bir yürütülebilir dosyayı Windows Başlangıç klasörlerinden birine ayıklamasına olanak tanıyan bir WinRAR güvenlik açığı (CVE-2018-20250), saldırganlar tarafından kalıcı kötü amaçlı yazılım dağıtmak için istismar edildi. Bununla birlikte, bu özel durumda, POC istismar kodu herkese açıktı.
RARLAB, CVE-2023-40477 adresine bir güvenlik güncellemesi yayınladı ve WinRAR kullanıcıları, yazılımın otomatik güncelleme seçeneğine sahip olmadığı için mümkün olan en kısa sürede manuel olarak 6.23 sürümüne güncelleme yapmalıdır.
Genel olarak, aldığınız herhangi bir dosyayı (istenmeyen veya istenmeyen) önce kötü amaçlı yazılım taraması yapmadan açmamalısınız.