脅威アドバイザリ: WinRAR にゼロデイ脆弱性が検出されました

ゼロデイ脆弱性はサイバーセキュリティに対する差し迫った脅威であり、今回のケースでは、広く利用されているWinRARソフトウェアにおいて、CVE-2023-38831とCVE-2023-40477というXNUMXつの脆弱性が確認されました。これらの脆弱性は、リモートコード実行の可能性があるため、深刻な脅威リスクを伴い、深刻な懸念事項となっています。

WinRARは世界中で5億人のユーザーを抱える人気の圧縮ツールであり、数え切れないほどのデジタルコンテンツ制作において不可欠な役割を果たしています。この事実は、これらの脆弱性が悪用されればデジタル環境に深刻な影響を与える可能性があるため、その影響をさらに大きくしています。

これらの脆弱性を悪用するには、ユーザーの操作が必要です。悪意のあるリモート攻撃者は、WinRARがインストールされているシステム上で任意のコードを実行する可能性があります。WinRARは、RARまたはZIPファイル形式のアーカイブ作成機能に加え、様々な形式のアーカイブファイルを表示・解凍する機能を備えています。WinRARは暗号化アーカイブ、マルチパートファイル、自己解凍形式の作成をサポートしているため、状況はより複雑になり、侵害の可能性はさらに高まります。さらに、アーカイブ内の各ファイルはCRC32またはBLAKE2チェックサムを使用して整合性が検証されるため、システムにおけるこれらの脆弱性の重要性が浮き彫りになります。

この勧告は、上記の調査結果の詳細な分析と報告です。 

これらの脆弱性に対してなぜ即時の対応が必要なのでしょうか?

WinRARのバージョン6.23より古いバージョンを使用しているユーザーは危険にさらされています。これらの脆弱性により、ZIPアーカイブ内の無害なファイルを表示しようとした際に、ユーザーが任意のコードを実行できてしまいます。この問題は、ZIPアーカイブに無害なファイル（通常の.JPGファイルなど）と、そのファイルと同じ名前のフォルダが含まれている場合に発生します。無害なファイルのみにアクセスしようとした際に、フォルダの内容（実行可能なコンテンツを含む場合があります）が処理されてしまいます。この脆弱性は、2023年4月から8月にかけて、攻撃者によって実際に悪用されていました。これらの脆弱性を利用して、オンラインの仮想通貨取引アカウントへの侵害が試みられました。

CVE-2023-40477 => リカバリボリューム、配列インデックスの不適切な検証：リモートコード実行の脆弱性

特別に細工されたWinRARアーカイブをデバイス上で開いたユーザーは、この攻撃の標的になる可能性があります。このような特別に細工されたアーカイブをダウンロードし、ユーザーのシステム上で開くだけで、攻撃者はデバイス上で任意のコードを実行することができます。

CVE-2023-40477 として識別されるこの問題は、リカバリボリュームの処理に存在する重大度の高い脆弱性です。古い RAR 3.0 形式のリカバリボリューム名を処理する際に、バッファオーバーフローが発生する可能性があります。この脆弱性を誘発するには、ユーザーが不正な名前を持つリカバリアーカイブファイルと同じフォルダにある RAR ファイルの解凍を開始する必要があります。この脆弱性はリカバリボリュームの処理に存在し、ユーザーが入力したデータの適切な検証が行われないことに起因します。これにより、割り当てられたバッファの終端を超えたメモリアクセスが発生する可能性があります。

WinRAR ライブラリを使用するソフトウェアも影響を受けました。

ライブラリ「unrar.dll」と「unrar64.dl」に脆弱性があります。WinRARが使用するライブラリ「unrar.dll」と「unrar64.dll」は、多くのソフトウェア製品（ウイルススキャナを含む）で使用されています。これらのソフトウェア製品で古いバージョンのライブラリが使用されている場合、上記の脆弱性が存在します。ウイルススキャナの場合、アンチウイルスソフトウェアは通常、昇格された権限で実行されるため、WinRARよりもさらに深刻な問題となります。

CVE-2023-38831 => ファイル拡張子偽装の脆弱性

図1：作成されたアーカイブを開くと、実際のP​​DFファイルが開かれる前に電卓が起動します。

アーカイブを開いても、ユーザーは無害なファイルと悪意のあるペイロードを隠しているファイルを区別することができません。ここでは、PDFファイルと、同じ名前のフォルダが表示されます。

図 1: 実際の PDF ファイルが開かれる前に計算機を起動して細工されたアーカイブの結果を開きます。

しかし、ユーザーがPDFファイルをダブルクリックすると、CVE-2023-38831の脆弱性により、（電卓の起動時に）フォルダ内のスクリプトが密かに起動され、デバイスにマルウェアがインストールされます。同時に、これらのスクリプトは、ユーザーに疑念を抱かせないように、おとり文書も読み込みます。

この脆弱性は、安全なファイルと比べてわずかに構造を変更した特別に細工されたアーカイブを作成することで発生し、WinRAR の ShellExecute 関数がデコイ ファイルを開こうとすると誤ったパラメータを受け取ることになります。

その結果、プログラムは無害なファイルをスキップし、代わりにバッチまたは CMD スクリプトを探して実行します。そのため、ユーザーは安全なファイルを開いていると想定しますが、プログラムは別のファイルを起動します。

感染チェーン:

IOC：

緩和

RARLABは6.23年2月2023日にWinRARバージョン24をリリースし、2023年2023月40477日にはCVE-2023-38831およびCVE-XNUMX-XNUMXを効果的に解決するアップデートをリリースしました。WinRARユーザーは、このセキュリティパッチを直ちに適用することをお勧めします。

リリースノート：こちらをクリック

このバージョンでは、特別に細工されたアーカイブに関連する別の重大な問題も修正されており、特別に細工されたアーカイブの抽出中にファイルが正しく初期化されない問題も修正されています。

著者：

アドリプ・ムケルジー

アムルタ・ワグ