Tenable ブログ
ブログ通知を受信する
WinRARの絶対パストラバーサルの脆弱性（CVE-2018-20250）、リモートでコードが実行される可能性
WinRARのACEファイルフォーマットサポートにおける19年前から存在した脆弱性（CVE-2018-20250）が攻撃の一部として使用されていることが確認されています。
背景
2月20日、Check Point Research（CPR）の研究者らは、人気のあるファイル圧縮ツールであるWinRARがACEアーカイブを抽出するために使用するライブラリ内で、複数の脆弱性が発見されたことをブログで公開しました。これらの脆弱性が悪用されると、リモートでコードが実行される可能性があります。エクスプロイトスクリプトは、CPRがブログを投稿した翌日にGithubに公開されました。360 Threat Intelligence Center（TIC）は、実世界でこの脆弱性を悪用する試みを特定したと報告しています。
おそらく、WinRAR 脆弱性を悪用するためにメールを介して広がった最初のマルウェアでしょう。このバックドアは MSF により生成され、UAC がオフであれば、WinRAR によりグローバルスタートアップフォルダに書き込まれます。https://t.co/bK0ngP2nIy
— 360 Threat Intelligence Center (@360TIC) 2019年2月25日
IOC:
hxxp://138.204.171.108/BxjL5iKld8.zip
138.204.171.108:443 pic.twitter.com/WpJVDaGq3D
分析
CPRは合計4つのCVE（CVE-2018-20250、CVE-2018-20251、CVE-2018-20252、CVE-2018-20253）を公開しました。
CVE-2018-20250はunacev2.dllの絶対パストラバーサルの脆弱性です。unacev2.dllは、WinRARがACEアーカイブを解析するために使用するDLLファイルで、2005年（14年前）以降更新されていません。 特別に細工されたACEアーカイブはこの脆弱点を悪用してファイルを任意のパスに抽出し、実際の保存先フォルダを迂回することができます。この例では、CPRは悪意のあるファイルをWindowsのStartupフォルダに抽出できることを実証しています。
CVE-2018-20251は、ACEアーカイブの処理時にWinRARが検証機能を呼び出す方法に存在する脆弱性です。検証機能は、パストラバーサルパターンが含まれているファイルの抽出を防ぐように設計されていますが、検証機能からの値は、ファイルまたはフォルダが作成されるまで返されません。
CVE-2018-20252とCVE-2018-20253の両方とも、細工されたアーカイブフォーマットの解析時に範囲外の書き込みを可能にする脆弱性です。これらのCVEを悪用すると、任意のコードが実行される可能性があります。
概念実証
CPRは、ブログ記事で概念実証ビデオを公開し、ACEアーカイブが悪意のあるファイルをWindowsのスタートアップフォルダに抽出する方法を示しています。
概念実証はGithubにも公開されています。
ソリューション
WinRARはWinRAR 5.70 Beta 1でACEアーカイブの解凍のサポートを終了することを決定しました。現在のベータバージョンは、5.70 Beta 2です。WinRARユーザーはできるだけ早く最新のベータ版にアップグレードすることをお勧めします。
影響を受けているシステムの特定
これらの脆弱性を識別するためのNessusプラグインのリストは、リリースされるたびにこちらに表示されます。
詳細情報
- WinRARから19年前から存在するコード実行を抽出
- WinRARから19年前から存在するコード実行を抽出の exp（Github）
- WinRARから19年前から存在するコード実行を抽出の poc ファイル（Github）
- 脆弱性情報データベース（NVD）： CVE-2018-20250
Tenable コミュニティの Tenable セキュリティレスポンスチームに参加してみませんか。
現代のアタックサーフェスを総合的に管理する Cyber Exposure Platform を初めて提供した Tenable について詳細情報をご覧ください。
今すぐ Tenable.io Vulnerability Management の60日間無料トライアルをお試しください。
関連記事
Strengthening the Nessus Software Supply Chain with SLSA
April 16, 2024You know Tenable as a cybersecurity industry leader whose world-class exposure management products are trusted by our approximately 43,000 customers, including about 60% of the Fortune 500. But sometimes we like to give you a peek behind the curtain to share how we protect our own house against cyberattacks – and that’s what this blog is about. Today we’re sharing our experience adopting the supply-chain security framework SLSA, with the hopes that the lessons we learned will be helpful to you.
Cybersecurity Snapshot: CISA Says Midnight Blizzard Swiped U.S. Gov’t Emails During Microsoft Hack, Tells Fed Agencies To Take Immediate Action
April 12, 2024Check out CISA’s urgent call for federal agencies to protect themselves from Midnight Blizzard’s breach of Microsoft corporate emails. Plus, a new survey shows cybersecurity pros are guardedly optimistic about AI. Meanwhile, SANS pinpoints the four trends CISOs absolutely must focus on this year. And the NSA is sharing best practices for data security. And much more!
Cybersecurity Snapshot: U.S. Gov’t Unpacks AI Threat to Banks, as NCSC Urges OT Teams to Protect Cloud SCADA Systems
March 29, 2024Check out new guidance for banks on combating AI-boosted fraud. Plus, how to cut cyber risk when migrating SCADA systems to the cloud. Meanwhile, why CISA is fed up with SQLi flaws. And best practices to prevent and respond to DDoS attacks. And much more!
Tenable and Thales Collaborate to Provide Cyber Defense Simulations to Better Secure Operational Technology Environments
April 18, 2024The heart of the Welsh Valleys is home to the Thales Ebbw Vale campus, a world-class facility jointly funded by the Welsh government as part of its regeneration program for the region. At the core of the facility is the Cyber Range, a simulation and virtualization platform for training, testing, exercising and R&D. Tenable has joined the lineup of solutions used to run real world simulations in this controlled environment.
Oracle April 2024 Critical Patch Update Addresses 239 CVEs
April 17, 2024Oracle addresses 239 CVEs in its second quarterly update of 2024 with 441 patches, including 38 critical updates.
Strengthening the Nessus Software Supply Chain with SLSA
April 16, 2024You know Tenable as a cybersecurity industry leader whose world-class exposure management products are trusted by our approximately 43,000 customers, including about 60% of the Fortune 500. But sometimes we like to give you a peek behind the curtain to share how we protect our own house against cyberattacks – and that’s what this blog is about. Today we’re sharing our experience adopting the supply-chain security framework SLSA, with the hopes that the lessons we learned will be helpful to you.
- Vulnerability Management
- Vulnerability Scanning