Kiedy jeszcze używałem systemu Windows, miałem pakiet programów, które instalowałem razem z systemem. Jednym z nich był WinRAR. Nie potrafiłem bez niego żyć, ale byłem młody i głupi. Teraz kiedy dowiaduje się, że w aplikacji tej znaleziono 19-letnią podatność — załamuje ręce. Quo Vadis świecie IT?
Nie jestem jakoś specjalnie wymagający, co do aplikacji, których używam. Jeżeli są darmowe lub półdarmowe, to na wiele potrafię przymykać oczy. Sam pracuje w tej branży — wiem, jak ciężko jest o sterylność środowiska. Są jednak momenty, kiedy otwiera mi się scyzoryk w kieszeni, a na usta ciśnie się cały słownik “łaciny podwórkowej“. Windows przyzwyczaił mnie to tego, że wiele błędów systemu było długo ukrywane. Jednakże okazuje się, że są lepsi od nich w tej kwestii i nie jest to powód do śmiechu. To powód do naprawdę wzmożonego płaczu.
W aplikacji do archiwizacji plików znanej jako WinRAR znaleziono podatność, która ma 19 lat.
Najciekawsze jest to, że praktycznie każdy z nas ją zna i używał jej na co dzień, ale wtedy jeszcze, kiedy to robiłem, nie zdawałem sobie sprawy, jakim problemem może być. Podatność otrzymała cztery numery: CVE-2018-20250, CVE-2018-20251, CVE-2018-20252, CVE-2018-20253. Jest to tak funkcja, która umożliwia wypakowanie pliku z archiwum do dowolnego miejsca na systemie plików. Kto kiedyś zdawał sobie sprawę, że to może być tragiczne w skutkach. Dopiero teraz sobie to uświadomiłem. Potraktujmy to w sposób najmniej rozważny. Przecież w takim przypadku bez problemu można archiwum rozpakować choćby do katalogu autostart w systemie Windows. Dzięki temu jakieś niebezpieczny program będzie mógł się uruchamiać razem z naszym OS.
Firma Checkpoit pokusiła się nawet o nagranie filmu z możliwym włamaniem.
Na ekranie widzimy, jak rozpakowywany jest nic niegroźny plik z rozszerzeniem .txt. Jednakże okazuje się, że w Autostart naszego systemu ląduje groźny malware. Jak widać, zainfekowanie z użyciem tej podatności wcale nie jest takie proste i było możliwe przez tyle lat. Rozumiem, że my — użytkownicy na to nie wpadliśmy, ale że nie wpadli na to jacyś specjaliści od bezpieczeństwa w firmie RarLAB winni ogarnąć temat — mieli na to dużo czasu.
Na nieszczęście, exploit także jest prosty do ogarnięcia.
Oznacza to, że wirusa z użyciem takiej podatności może zrobić średnio-zdolny gimnazjalista. Musimy stworzyć plik w formacie ACE, a następnie wymienić go na RAR. W samym archiwum ustawiamy spakowanemu plikowi ścieżkę na: C:\C:\folder\plik.ext. Jak się okazuje, też podwójny znacznik dysku C to nie pomyłka — tak ma być. Co więcej, taki plik można także bez problemu rozpakować do zasobu Samby.
Oczywiście, podatność została już załatana.
Muszę przyznać, że jest to dość szybko, bo po 19 latach. RarLab pozbył się problemu usuwając obsługę formatu ACE z programu. Najprostsza z możliwych metod, a tak długo trzeba było na nią czekać. Zmiana pojawiła się w wersji WinRAR 5.70 beta1 i ta jest zalecana na teraz do użytku. Jeżeli takowej jeszcze nie macie — przeinstalujcie. Inaczej możecie stać się ofiarami wirusów wykorzystujących tę dziurę. Sam RarLab wydał też oświadczenie w tej prawie:
Aforementioned vulnerability makes possible to create files in arbitrary folders inside or outside of destination folder when unpacking ACE archives. WinRAR used this third party library to unpack ACE archives. UNACEV2.DLL had not been updated since 2005 and we do not have access to its source code. So we decided to drop ACE archive format support to protect security of WinRAR users.”
