Topic: WinRAR ставит под угрозу 500 млн пользователей (Read 927 times)

так то то и оно что не секретный, но запатентованый
и как сказад Gerhald "Этим ребятам проще купить"

это дерьмо встроено в винду уже 14 лет или около того. и выпилить его оттуда - это надо постараться
кроме того поддержка этого архива есть в большинстве (если вообще не во всех) ОС. хоть в винде хоть в никсах. про макосы не знаю

кто-то ещё использует это дерьмо? Когда есть http://7-zip.org.ua/ru/

Ну если руки из *опы выросли то проще купить, гыгы.
А вобще самораспаковывающиеся архивы я тоже не использую.

Этим ребятам проще купить 

А зачем мелкомягким права было покупать? Если алгоритм архивации не секретный и не запатентован то пиши сам софт и используй алгоритм.

вин ХР и дальше. примерно в то время мелкомягкие купили на него все права и встроили в ОС

Есть для zip, в семерке и дальше.

А в винде раве есть штатный архиватор? в какой версии винды он появился?

паранойя - наше всё. мелкие файлы - на вирустотал. крупные - скан двумя-тремя антивирусами.   sfx архивы никогда не любил. сделай нормальный инсталятор или запакуй в зип чтобы штатный виндовый архиватор открыл.

я пользуюсь старым winRar-ом надеюсь в нем нет этой уязвимости?

Очень странное заявление. Почему бы не признать проблему и не начать работать над ней.

Ну чтож, Winzip..  хотя Winrar всегда больше нравился

Всегда недолюбливал эти самораспаковывающиеся архивы. Как оказалось, не зря.

Уязвимость в WinRAR ставит под угрозу порядка 500 млн пользователей
https://xakep.ru/2015/10/01/winrar-sfx-bug/

---

Иранский исследователь Мохаммад Реза Испаргам (Mohammad Reza Espargham) из компании Vulnerability-Lab нашел крайне неприятный баг в популярнейшем архиваторе WinRAR. Уязвимость в WinRAR SFX v5.21 позволяет выполнить произвольный код на компьютере жертвы.

Озвученная Испаргамом цифра в полмиллиарда потенциальных жертв, скорее всего, несколько преувеличена. Дело в том, что баг, найденный в sfx-модуле, связан с функцией «Text and Icon» из раздела «Text to display in SFX window». Атакующий может внедрить туда вредоносный HTML или JavaScript, который сработает без участия пользователя, вместе с разархивацией файлов.

Однако нужно понимать, что речь идет о самораспаковывающихся архивах, то есть практически .exe-файлах. Скачивать и запускать подозрительные самораспаковывающиеся архивы из сети и открывать их, в целом плохая идея, даже без учета уязвимостей в WinRAR.

Испаргам, тем не менее, представил proof-of-concept видео

Специалист ИБ-компании Malwarebytes Питер Арнц (Pieter Arntz) отметил в  блоге компании, что proof-of-concept, опубликованный на seclists.org, требует некоторых корректировок, чтобы он работал как надо. Возможно, он имел в виду конфликт версий Perl, возможно, что-то иное.

Исправления для уязвимости пока нет и, наверное, не будет. Команда разработчиков WinRAR вообще отказывается признать находку Испаргама «уязвимостью». Представитель разработчиков дал комментарий изданию ZDNet:

«Мы можем сказать, что ограничение функциональности sfx-модуля повредит только честным пользователям, которым действительно нужны HTML-функции. Но это не станет проблемой для злоумышленников, которые для своих нужд могут воспользоваться предыдущими версиями SFX-модулей, кастомными модулями из исходных кодов UnRAR, собственным кодом или заархивированными .exe-файлами. Мы только можем напомнить пользователям, что запускать .exe-файлы, будь это SFX-архив или что-то другое, стоит только тогда, когда они получены из доверенного источника».