제로데이 취약점은 사이버 보안에 임박한 위협이며, 이번 사례에서는 널리 사용되는 WinRAR 소프트웨어에서 CVE-2023-38831과 CVE-2023-40477이라는 두 가지 취약점이 발견되었습니다. 이러한 취약점은 원격 코드 실행 가능성으로 인해 심각한 위협 위험을 초래하여 심각한 우려를 야기합니다.
WinRAR는 전 세계 5억 명의 사용자를 보유한 인기 압축 도구로, 수많은 디지털 운영에 필수적인 역할을 합니다. 이러한 사실은 이러한 취약점의 잠재적 영향을 더욱 증폭시키는데, 어떠한 악용이라도 디지털 환경에 심각한 영향을 미칠 수 있기 때문입니다.
이러한 취약점을 악용하려면 사용자 상호작용이 필요합니다. 악의적인 의도를 가진 원격 공격자는 WinRAR가 설치된 시스템에서 임의 코드를 실행할 수 있습니다. RAR 또는 ZIP 파일 형식의 압축 파일 생성 기능을 포함하는 이 소프트웨어는 다양한 압축 파일 형식을 표시하고 압축을 해제합니다. WinRAR는 암호화된 압축 파일, 다중 파일, 자동 압축 해제 기능을 지원하여 상황을 더욱 복잡하게 만들기 때문에, 이러한 취약점은 감염 가능성을 더욱 증폭시킵니다. 또한, 압축 파일 내 각 파일에 대해 CRC32 또는 BLAKE2 체크섬을 사용하여 파일 무결성을 검증하기 때문에 이러한 취약점이 시스템에 얼마나 심각한지를 보여줍니다.
본 권고사항은 위의 조사 결과에 대한 자세한 분석 및 보고서입니다.
이러한 취약점에 대해 즉각적인 조치가 필요한 이유는 무엇입니까?
WinRAR 6.23 이전 버전을 사용하는 사용자는 위험에 노출되어 있습니다. 이러한 취약점은 사용자가 ZIP 압축 파일 내의 일반 파일을 열려고 시도할 때 임의 코드를 실행할 수 있도록 허용합니다. 이 문제는 ZIP 압축 파일에 일반 .JPG 파일과 같은 일반 파일과 해당 파일과 이름이 같은 폴더가 포함되어 있을 때 발생합니다. 일반 파일에만 접근하려는 시도 중에 폴더의 내용(실행 가능한 콘텐츠 포함)이 처리될 수 있습니다. 이러한 취약점은 2023년 4월부터 8월까지 공격자들에 의해 악용되었습니다. 이 취약점을 통해 온라인 암호화폐 거래 계정에 대한 침입 시도가 있었습니다.
CVE-2023-40477 => 복구 볼륨, 배열 인덱스의 부적절한 검증: 원격 코드 실행 취약점
특수하게 조작된 WinRAR 압축 파일을 기기에서 여는 사용자는 공격의 표적이 될 수 있습니다. 이러한 특수하게 조작된 압축 파일을 사용자 시스템에서 다운로드하고 여는 것만으로도 공격자는 기기에서 임의 코드를 실행할 수 있습니다.
CVE-2023-40477로 식별된 이 문제는 복구 볼륨 처리 과정에서 발생하는 심각도가 높은 취약점입니다. 이전 RAR 3.0 형식의 복구 볼륨 이름을 처리할 때 버퍼 오버플로가 발생할 수 있습니다. 이 취약점을 유발하려면 사용자가 잘못된 이름을 가진 복구 아카이브 파일과 동일한 폴더에서 RAR 파일의 압축을 해제해야 합니다. 이 취약점은 복구 볼륨 처리 과정에서 발생하며, 사용자가 제공한 데이터의 적절한 검증이 이루어지지 않아 발생합니다. 이로 인해 할당된 버퍼의 끝을 넘어 메모리에 접근하게 될 수 있습니다.
WinRAR 라이브러리를 사용하는 소프트웨어도 영향을 받았습니다.
unrar.dll과 unrar64.dl 라이브러리는 취약합니다. WinRAR에서 사용하는 "unrar.dll"과 "unrar64.dll" 라이브러리는 바이러스 검사 프로그램을 포함한 여러 소프트웨어 제품에 사용됩니다. 이러한 라이브러리의 이전 버전이 해당 소프트웨어에 사용되는 경우, 위에서 언급한 취약점이 존재합니다. 바이러스 검사 프로그램의 경우, 바이러스 백신 소프트웨어가 일반적으로 높은 권한으로 실행되기 때문에 WinRAR보다 더욱 심각합니다.
CVE-2023-38831 => 파일 확장자 스푸핑 취약점
그림 1: 생성된 아카이브 를 열면 실제 PDF 파일이 열리기 전에 계산기가 실행됩니다.
압축 파일을 열면 사용자는 악성 페이로드가 숨겨진 무해한 파일을 구분할 수 없습니다 . 여기서는 PDF 파일과 동일한 이름의 폴더가 보입니다.
그림 1: 실제 PDF 파일을 열기 전에 계산기를 실행하여 제작된 보관 결과를 여는 모습.
하지만 사용자가 PDF 파일을 두 번 클릭하면 CVE-2023-38831 취약점이 해당 폴더에서 자동으로 스크립트를 실행하여 기기에 맬웨어를 설치합니다(계산기가 실행될 때). 동시에, 이 스크립트는 의심을 피하기 위해 가짜 문서도 로드합니다.
이 취약점은 안전한 파일과 비교했을 때 약간 수정된 구조를 가진 특수하게 조작된 아카이브를 생성함으로써 발생하는데, 이로 인해 WinRAR의 ShellExecute 함수가 미끼 파일을 열려고 할 때 잘못된 매개변수를 받게 됩니다.
이로 인해 프로그램은 무해한 파일을 건너뛰고 대신 배치나 CMD 스크립트를 찾아 실행합니다. 즉, 사용자는 안전한 파일을 열었다고 생각하지만 프로그램은 다른 파일을 실행합니다.
감염 사슬:
국제오씨오(IOC):
| 파일 이름 | SHA-2 해시 |
| 트레이딩_전략_2023.rar | 763df8b2db7f2f2fa0c8adb8c1cc05ff15b59e6a9756cbe9fc4a1c12329b62af |
| Cryptocurrencies2023_mpgh.net.rar | 0860e09e529fc6ccbbffebafedc27497fbbcaff57b5376fb4cc732c331d1f591 |
| 스크린샷_19_04_2023.rar | 18129626041b90558607eec67616ba6d2b1ea28a280c7ba5b2bd30ebb1e2438b |
| TSG_전략.rar | 5a387ee6d0dcbbf2cd97379c68d8e3398d01a920873ddd45ff21dbfccb19e2ee |
| 새로운 계약.rar | 0059121d725a818e453e29492e78762d0a87087fcb11e484cf5ad663c1eba2bc |
완화
RARLAB은 6.23년 2월 2023일에 WinRAR 버전 24을 출시했고, 2023년 2023월 40477일에 CVE-2023-38831과 CVE-XNUMX-XNUMX을 효과적으로 해결하는 또 다른 업데이트를 출시했습니다. WinRAR 사용자는 이 보안 패치를 즉시 적용하는 것이 좋습니다.
릴리스 노트: 여기를 클릭하세요
이 버전은 특별히 제작된 아카이브와 관련된 또 다른 중요한 문제를 해결하여, 특별히 제작된 아카이브를 추출할 때 잘못된 파일이 초기화되는 문제를 해결하는 데 도움이 됩니다.
저자 :
아드립 무케르지
암루타 와그
