Tenable ブログ
ブログ通知を受信する
WinRARの絶対パストラバーサルの脆弱性（CVE-2018-20250）、リモートでコードが実行される可能性
WinRARのACEファイルフォーマットサポートにおける19年前から存在した脆弱性（CVE-2018-20250）が攻撃の一部として使用されていることが確認されています。
背景
2月20日、Check Point Research（CPR）の研究者らは、人気のあるファイル圧縮ツールであるWinRARがACEアーカイブを抽出するために使用するライブラリ内で、複数の脆弱性が発見されたことをブログで公開しました。これらの脆弱性が悪用されると、リモートでコードが実行される可能性があります。エクスプロイトスクリプトは、CPRがブログを投稿した翌日にGithubに公開されました。360 Threat Intelligence Center（TIC）は、実世界でこの脆弱性を悪用する試みを特定したと報告しています。
おそらく、WinRAR 脆弱性を悪用するためにメールを介して広がった最初のマルウェアでしょう。このバックドアは MSF により生成され、UAC がオフであれば、WinRAR によりグローバルスタートアップフォルダに書き込まれます。https://t.co/bK0ngP2nIy
— 360 Threat Intelligence Center (@360TIC) 2019年2月25日
IOC:
hxxp://138.204.171.108/BxjL5iKld8.zip
138.204.171.108:443 pic.twitter.com/WpJVDaGq3D
分析
CPRは合計4つのCVE（CVE-2018-20250、CVE-2018-20251、CVE-2018-20252、CVE-2018-20253）を公開しました。
CVE-2018-20250はunacev2.dllの絶対パストラバーサルの脆弱性です。unacev2.dllは、WinRARがACEアーカイブを解析するために使用するDLLファイルで、2005年（14年前）以降更新されていません。 特別に細工されたACEアーカイブはこの脆弱点を悪用してファイルを任意のパスに抽出し、実際の保存先フォルダを迂回することができます。この例では、CPRは悪意のあるファイルをWindowsのStartupフォルダに抽出できることを実証しています。
CVE-2018-20251は、ACEアーカイブの処理時にWinRARが検証機能を呼び出す方法に存在する脆弱性です。検証機能は、パストラバーサルパターンが含まれているファイルの抽出を防ぐように設計されていますが、検証機能からの値は、ファイルまたはフォルダが作成されるまで返されません。
CVE-2018-20252とCVE-2018-20253の両方とも、細工されたアーカイブフォーマットの解析時に範囲外の書き込みを可能にする脆弱性です。これらのCVEを悪用すると、任意のコードが実行される可能性があります。
概念実証
CPRは、ブログ記事で概念実証ビデオを公開し、ACEアーカイブが悪意のあるファイルをWindowsのスタートアップフォルダに抽出する方法を示しています。
概念実証はGithubにも公開されています。
ソリューション
WinRARはWinRAR 5.70 Beta 1でACEアーカイブの解凍のサポートを終了することを決定しました。現在のベータバージョンは、5.70 Beta 2です。WinRARユーザーはできるだけ早く最新のベータ版にアップグレードすることをお勧めします。
影響を受けているシステムの特定
これらの脆弱性を識別するためのNessusプラグインのリストは、リリースされるたびにこちらに表示されます。
詳細情報
- WinRARから19年前から存在するコード実行を抽出
- WinRARから19年前から存在するコード実行を抽出の exp（Github）
- WinRARから19年前から存在するコード実行を抽出の poc ファイル（Github）
- 脆弱性情報データベース（NVD）： CVE-2018-20250
Tenable コミュニティの Tenable セキュリティレスポンスチームに参加してみませんか。
現代のアタックサーフェスを総合的に管理する Cyber Exposure Platform を初めて提供した Tenable について詳細情報をご覧ください。
今すぐ Tenable.io Vulnerability Management の60日間無料トライアルをお試しください。
関連記事
Cybersecurity Snapshot: CISA Pinpoints Vulnerabilities in Critical Infrastructure Orgs that Ransomware Groups Could Exploit
March 17, 2023Learn about CISA’s new program to help critical infrastructure organizations stamp out vulnerabilities associated with ransomware attacks. Plus, a U.S. government advisory with the latest on LockBit 3.0. Also, find out why the U.K.’s cyber agency is warning users about ChatGPT. And much more!
Microsoft’s March 2023 Patch Tuesday Addresses 76 CVEs (CVE-2023-23397)
March 14, 2023Microsoft’s March 2023 Patch Tuesday Addresses 76 CVEs (CVE-2023-23397) Microsoft addresses 76 CVEs including two zero-days exploited in the wild, one of which was publicly disclosed. 9Critica...
Cybersecurity Snapshot: Find MITRE ATT&CK Complex? Need Help Mapping to It? There’s an App for That!
March 10, 2023Learn about a new tool that streamlines MITRE ATT&CK mapping. Plus, known vulnerabilities remain a major cyber risk – just ask LastPass. Also, discover why SaaS data protection remains difficult. Plus, a look at the U.S. National Cybersecurity Strategy. And much more!
EPA Issues Cybersecurity Regulations for Public Water Systems: How Tenable Can Help
March 27, 2023EPA released new regulations that require states to assess cybersecurity risks at drinking water systems and ensure these systems have sufficient cyber protections. Here’s what you need to know — and how Tenable can help.
Tenable Cyber Watch: U.K. Cyber Agency Raises Privacy Concerns About ChatGPT, CISA Program Tackles Ransomware in Critical Infrastructure, and more
March 27, 2023This week’s edition of the Tenable Cyber Watch unpacks CISA’s new pilot program that detects vulnerabilities in critical infrastructure and addresses the FBI’s plea for more ransomware victims to report attacks. Also covered: Why the U.K. National Cyber Security Centre is warning ChatGPT users to tread carefully when submitting queries with sensitive information.
Cybersecurity Snapshot: Strengthen Identity and Access Management Security with New CISA/NSA Best Practices
March 24, 2023Learn about a new guide packed with best practices recommendations to improve IAM systems security. Plus, cybersecurity ranks as top criteria for software buyers. Also, guess who’s also worried about ChatGPT? Oh, and do you know what a BISO is? And much more!
- 脆弱性管理
- 脆弱性スキャン
