พบช่องโหว่ร้ายแรงบน WinRAR กระทบทุกเวอร์ชัน ให้แฮกเกอร์แตกไฟล์มุ่งร้ายที่ไหนก็ได้

By: nismod
TraineeWriteriPhoneAndroid
on 22 February 2019 - 13:41 Tags:
Topics: 
Bug
Security
WinRAR
Node Thumbnail

นักวิจัยจากบริษัทความปลอดภัย Check Point รายงานการค้นพบช่องโหว่ขั้นร้ายแรงบน WinRAR โปรแกรมบีบอัดและแตกไฟล์ชื่อดัง ซึ่งกระทบทุกเวอร์ชันที่ WinRAR เคยออกมาตลอด 19 ปี

นักวิจัยเรียกช่องโหว่นี้ว่า Absolute Path Traversal ซึ่งเป็นช่องโหว่ของไลบรารีภายนอกที่ชื่อว่า UNACEV2.DLL ที่ WinRAR เอาไว้แตกไฟล์ฟอร์แมท .ace โดย WinRAR จะตรวจสอบว่าไฟล์เป็นฟอร์แมต .ace จากเนื้อไฟล์โดยตรงไม่ใช่นามสกุลของไฟล์ ทำให้แฮกเกอร์สามารถแฝงมัลแวร์หรือไฟล์มุ่งร้ายมาในฟอร์แมท .ace โดยแก้สกุลเป็น .rar และเมื่อแตกไฟล์ออกมา แฮกเกอร์สามารถแตกไฟล์ดังกล่าวไปไว้ในโฟลเดอร์ที่แฮกเกอร์กำหนดไว้ได้

ทีมงาน WinRAR ได้ปล่อยอัพเดตเวอร์ชัน 5.70 เบต้า 1 เพื่อแก้บั๊คนี้แล้ว แต่การแก้บั๊คของ WinRAR คือการนำไลบรารี UNACEV2.dll ออกจากแพ็คเกจไฟล์เพื่อตัดการซัพพอร์ทไฟล์ ACE เลย เพราะทีมงานไม่มีซอสโค้ดของไลบรารี UNACEV2.dll มาตั้งแต่ปี 2015

ที่มา - Check Point, The Hacker News

Get latest news from Blognone

Comments

By: POAKPONG
ContributorAndroidWindowsIn Love
on 22 February 2019 - 14:07 #1097747
POAKPONG's picture

อันตรายมากสำหรับ win เถื่อน ที่แถมโปรแกรมมาเป็นร้อย

ปกป้อง | เฟสบุ๊ก | ทวิตเตอร์

By: Fourpoint
Windows PhoneAndroidSymbian
on 22 February 2019 - 14:35 #1097756

น่ากลัวจริง ส่วนใหญ่ลงกันแล้วไม่เคย update

By: toooooooon
iPhoneWindows PhoneAndroidBlackberry
on 22 February 2019 - 14:38 #1097758

ใช้ 7zip ยาวไป

By: IDCET
Contributor
on 22 February 2019 - 15:12 #1097769 Reply to:1097758

+1 ตัวเดียว จบทุกอย่างจริงๆ ใช้ง่ายด้วย

ความล้มเหลว คือจุดเริ่มต้นสู่ความหายนะ มีผลกระทบมากกว่าแค่เสียเงิน เวลา อนาคต และทรัพยากรที่เสียไป - จงอย่าล้มเหลว

By: wichate
Android
on 22 February 2019 - 15:24 #1097776 Reply to:1097758

peazip เทพกว่าครับ ยาวไปๆ

By: i3i4i5
ContributoriPhoneWindows
on 22 February 2019 - 16:12 #1097787 Reply to:1097776
i3i4i5's picture

ดีจริงครับ

By: xenatt
ContributorWindows PhoneRed HatSymbian
on 22 February 2019 - 16:08 #1097786 Reply to:1097758
xenatt's picture

+7 ครับ

Opensource - Hackintosh - Graphic Design - Scriptkiddie - Xenlism Project

By: myungz
In Love
on 22 February 2019 - 20:05 #1097833 Reply to:1097758
myungz's picture

ของดีคู่คอม

By: Sephanov
iPhoneUbuntu
on 22 February 2019 - 14:45 #1097760
Sephanov's picture

ตั้งแต่พบ 7-zip ก็ไม่ใช้ตัวไหนอีกเลย

By: -Rookies-
ContributorAndroidWindowsIn Love
on 22 February 2019 - 15:07 #1097766

คอมพันทิพย์ทุกตัวโดนหมด....

เทคโนโลยีไม่ผิด คนใช้มันในทางที่ผิดนั่นแหละที่ผิด!?!

By: K_AViar
Windows PhoneUbuntuWindowsIn Love
on 22 February 2019 - 15:45 #1097783

WinRAR vs 7Zip ใครเจ๋งกว่ากัน ถ้าไม่นับเรื่องเสียตัง

By: i3i4i5
ContributoriPhoneWindows
on 22 February 2019 - 16:16 #1097789 Reply to:1097783
i3i4i5's picture

7Zip ดีกว่าเกือบทุกอย่าง แต่ WinRAR มีข้อดีอย่างนึงคือใส่ Recovery Record ไว้ทำ Error Correction ในตัวไม่ต้องใช้โปรแกรมอื่นเพิ่ม

By: -Rookies-
ContributorAndroidWindowsIn Love
on 22 February 2019 - 23:00 #1097846 Reply to:1097789

ข้อเสียร้ายแรงคือ UI เห่ยครับ 555

เทคโนโลยีไม่ผิด คนใช้มันในทางที่ผิดนั่นแหละที่ผิด!?!

By: K_AViar
Windows PhoneUbuntuWindowsIn Love
on 23 February 2019 - 02:44 #1097859 Reply to:1097846

ลองใช้ Bandizip ดูนะ ยังจะเห่ยอยู่ป่าว

By: specimen
Windows PhoneAndroid
on 22 February 2019 - 15:52 #1097784
specimen's picture

ตั้งแต่เจอ 7 zip ก็ไม่สนโปรแกรมพวกนี้เลย

By: i3i4i5
ContributoriPhoneWindows
on 22 February 2019 - 16:31 #1097791
i3i4i5's picture

คล้ายๆกับช่องโหว่ตัวนี้ไหมครับ

จากที่ดู Peazip ก็ซัพพอร์ต Ace เหมือนกันไม่แน่ใจว่าจะใช้ UNACEV2.DLL ด้วยรึเปล่า? http://www.peazip.org/ace-files-utility.html

By: McKay
ContributorAndroidWindowsIn Love
on 22 February 2019 - 18:43 #1097818 Reply to:1097791
McKay's picture

ใช้ library ตัวเดียวกันครับ

Russia is just nazi who accuse the others for being nazi.
someone once said : ผมก็ด่าของผมอยู่นะ :)

By: zyzzyva
Blackberry
on 22 February 2019 - 16:37 #1097792

ไม่อยากอัพเดตโปรแกรมเลยลบไฟล์ UNACEV2.DLL เอา พอไหวมั้ย

By: A4
iPhoneAndroidRed HatSUSE
on 22 February 2019 - 19:38 #1097828
A4's picture

ใช้ 7z มา 15 ปี

By: gjkllb01
Windows
on 23 February 2019 - 03:45 #1097863

Winrar ก็ขาดไม่ได้เหมือนกัน ลูกเล่นเยอะกว่า

By: Type 4 Mk. II on 23 February 2019 - 04:41 #1097864

จำเป็นต้องใช้ WinRAR
สร้างไฟล์ SFX ได้ละเอียดกว่า 7-Zip เยอะ"มาก"

By: adente
ContributorSUSESymbianWindows
on 23 February 2019 - 10:51 #1097890
adente's picture

สาย winrar ครับ

By: rainhawk
AndroidWindows
on 23 February 2019 - 20:17 #1097960
rainhawk's picture

ถึง 7zip จะฟรีแต่ WinRAR มันสะดวกกว่า 7zip นะ

By: dangsystem
iPhoneAndroidBlackberryWindows
on 26 February 2019 - 18:25 #1098622 Reply to:1097960
dangsystem's picture

ก็ทนเอาครับตอนแรกผมก็ไม่ชอบ 7zip พอชอบเท่านั้นแหละ ชอบเลย