นักวิจัยจากบริษัทความปลอดภัย Check Point รายงานการค้นพบช่องโหว่ขั้นร้ายแรงบน WinRAR โปรแกรมบีบอัดและแตกไฟล์ชื่อดัง ซึ่งกระทบทุกเวอร์ชันที่ WinRAR เคยออกมาตลอด 19 ปี
นักวิจัยเรียกช่องโหว่นี้ว่า Absolute Path Traversal ซึ่งเป็นช่องโหว่ของไลบรารีภายนอกที่ชื่อว่า UNACEV2.DLL ที่ WinRAR เอาไว้แตกไฟล์ฟอร์แมท .ace โดย WinRAR จะตรวจสอบว่าไฟล์เป็นฟอร์แมต .ace จากเนื้อไฟล์โดยตรงไม่ใช่นามสกุลของไฟล์ ทำให้แฮกเกอร์สามารถแฝงมัลแวร์หรือไฟล์มุ่งร้ายมาในฟอร์แมท .ace โดยแก้สกุลเป็น .rar และเมื่อแตกไฟล์ออกมา แฮกเกอร์สามารถแตกไฟล์ดังกล่าวไปไว้ในโฟลเดอร์ที่แฮกเกอร์กำหนดไว้ได้
ทีมงาน WinRAR ได้ปล่อยอัพเดตเวอร์ชัน 5.70 เบต้า 1 เพื่อแก้บั๊คนี้แล้ว แต่การแก้บั๊คของ WinRAR คือการนำไลบรารี UNACEV2.dll ออกจากแพ็คเกจไฟล์เพื่อตัดการซัพพอร์ทไฟล์ ACE เลย เพราะทีมงานไม่มีซอสโค้ดของไลบรารี UNACEV2.dll มาตั้งแต่ปี 2015
ที่มา - Check Point, The Hacker News
Get latest news from Blognone
Follow @twitterapi
Blognone Jobs Premium
Cloudnone
- NVIDIA จะไปหยุดที่ตรงไหน ทำไมครองโลกดาต้าเซ็นเตอร์ | Cloudnone EP.22
- ถึงคลาวด์เคราะห์: ทำอย่างไรเมื่อบริการคลาวด์ที่ใช้ถูกยกเลิก | Cloudnone EP. 21
- รู้จักอาชีพ Site Reliability Engineer สำคัญยังไง? | Cloudnone EP. 20
- อธิบาย CrowdStrike ทางเทคนิค ทำไมถึงทำพีซีจอฟ้าเป็นล้านๆ เครื่อง | Cloudnone EP.19
- Kubernetes [Part 2] ยี่ห้อไหนดี งานไหนต้องใช้ แล้วเลือกยังไง? | Cloudnone EP.18
Comments
อันตรายมากสำหรับ win เถื่อน ที่แถมโปรแกรมมาเป็นร้อย
ปกป้อง | เฟสบุ๊ก | ทวิตเตอร์
น่ากลัวจริง ส่วนใหญ่ลงกันแล้วไม่เคย update
ใช้ 7zip ยาวไป
+1 ตัวเดียว จบทุกอย่างจริงๆ ใช้ง่ายด้วย
ความล้มเหลว คือจุดเริ่มต้นสู่ความหายนะ มีผลกระทบมากกว่าแค่เสียเงิน เวลา อนาคต และทรัพยากรที่เสียไป - จงอย่าล้มเหลว
peazip เทพกว่าครับ ยาวไปๆ
ดีจริงครับ
+7 ครับ
Opensource - Hackintosh - Graphic Design - Scriptkiddie - Xenlism Project
ของดีคู่คอม
ตั้งแต่พบ 7-zip ก็ไม่ใช้ตัวไหนอีกเลย
คอมพันทิพย์ทุกตัวโดนหมด....
เทคโนโลยีไม่ผิด คนใช้มันในทางที่ผิดนั่นแหละที่ผิด!?!
WinRAR vs 7Zip ใครเจ๋งกว่ากัน ถ้าไม่นับเรื่องเสียตัง
7Zip ดีกว่าเกือบทุกอย่าง แต่ WinRAR มีข้อดีอย่างนึงคือใส่ Recovery Record ไว้ทำ Error Correction ในตัวไม่ต้องใช้โปรแกรมอื่นเพิ่ม
ข้อเสียร้ายแรงคือ UI เห่ยครับ 555
เทคโนโลยีไม่ผิด คนใช้มันในทางที่ผิดนั่นแหละที่ผิด!?!
ลองใช้ Bandizip ดูนะ ยังจะเห่ยอยู่ป่าว
ตั้งแต่เจอ 7 zip ก็ไม่สนโปรแกรมพวกนี้เลย
คล้ายๆกับช่องโหว่ตัวนี้ไหมครับ
จากที่ดู Peazip ก็ซัพพอร์ต Ace เหมือนกันไม่แน่ใจว่าจะใช้ UNACEV2.DLL ด้วยรึเปล่า? http://www.peazip.org/ace-files-utility.html
ใช้ library ตัวเดียวกันครับ
Russia is just nazi who accuse the others for being nazi.
someone once said : ผมก็ด่าของผมอยู่นะ :)
ไม่อยากอัพเดตโปรแกรมเลยลบไฟล์ UNACEV2.DLL เอา พอไหวมั้ย
ใช้ 7z มา 15 ปี
Winrar ก็ขาดไม่ได้เหมือนกัน ลูกเล่นเยอะกว่า
จำเป็นต้องใช้ WinRAR
สร้างไฟล์ SFX ได้ละเอียดกว่า 7-Zip เยอะ"มาก"
สาย winrar ครับ
ถึง 7zip จะฟรีแต่ WinRAR มันสะดวกกว่า 7zip นะ
ก็ทนเอาครับตอนแรกผมก็ไม่ชอบ 7zip พอชอบเท่านั้นแหละ ชอบเลย