WinRAR: Ejecución de código con archivo ZIP corruptoWinRAR es una popular utilidad de compresión de archivos para Windows, que soporta el formato de compresión RAR y ZIP.
Una vulnerabilidad en la manera que WinRAR maneja los nombres de archivos largos, puede provocar un desbordamiento de búfer con la posibilidad de ejecución de código, cuando se procesa un archivo ZIP.
Para lograr que WinRAR ejecute un código arbitrario, un atacante debe convencer a un usuario para que éste intente borrar cierto archivo de un paquete ZIP especialmente modificado.
Sin embargo, existe un factor mitigante. WinRAR trunca los nombres de archivos a 1023 bytes, y el tamaño para un desbordamiento de búfer queda reducido a 500 bytes, el cuál sería el máximo tamaño para el código de un exploit.
Además de ello, el búfer contiene también el texto "Are you sure you want to delete", que se inserta antes del nombre del archivo. Cómo el texto varía en versiones de WinRAR para diferentes idiomas, un exploit creado para una versión en un idioma determinado, solo funcionaría en dicha versión.
Existe un exploit que demuestra esta vulnerabilidad.
Son vulnerables las siguientes versiones del programa:
- WinRAR versión 3.41 y anteriores
Solución:
28/12/04: Descargar y ejecutar la versión 3.42 (o superior) que corrige esta vulnerabilidad desde el siguiente enlace:
http://winrar.com.es/.
Mientras no se instale dicha versión, se sugiere no abrir archivos ZIP con la utilidad WinRAR, ni borrar archivos dentro de paquetes ZIP.
Créditos:
Dark Eagle
Vafa Khoshaein (exploit)
Referencias:
WinRAR España
http://winrar.com.es/RARLAB, home of WinRAR and RAR archivers
http://www.rarlab.com/index.htmWinRAR Corrupt ZIP File Vulnerability
http://www.securiteam.com/windowsntfocus/6B00J1PC1Y.htmlActualizaciones:
28/12/04 - 15:49 -0200 (Solución: versión WinRAR 3.42)
Publicado anteriormente:
VSantivirus No. 1627 Año 8, lunes 20 de diciembre de 2004
Publicado en:
http://www.vsantivirus.com/vul-winrar-zip-161204.htm
