Una falla nel popolare software WinRAR potrebbe consentire a un malintenzionato di prendere possesso della macchina della vittima semplicemente inducendola ad aprire un archivio compresso appositamente definito
Una falla in un software utilizzato da milioni di persone rappresenta una seria minaccia per gli utenti in rete, se poi il numero di installazioni è maggiore di 500.000 milioni ed il software è il popolare WinRAR, la situazione si fa davvero pesante.
Ricordiamo che WinRAR è un programma shareware di compressione ed archiviazione di dati creato da Evgenij Lazarevič Rošal. Si tratta di una delle poche applicazioni in grado di creare e modificare gli archivi RAR codificati mediante un algoritmo di compressione proprietario.
Recentemente gli esperti dell’azienda di sicurezza Check Point hanno scoperto una falla logica in WinRAR utilizzando un sistema a logica fuzzy chiamato WinAFL, i ricercatori sono persino riusciti a sfruttare la vulnerabilità per ottenere il pieno controllo su un computer.
500 milioni di utenti a rischio
Come anticipato oltre 500 milioni di utenti in tutto il mondo utilizzano il famoso software e sono potenzialmente affetti dal problema che affligge tutte le versioni dell’applicazione rilasciate negli ultimi 19 anni. Avete capito bene, tutti gli utilizzatori di versioni rilasciare negli ultimi 19 anni sono a rischio, cerchiamo quindi di comprenderne il motivo.
La falla è tecnicamente definita come una vulnerabilità “Absolute Path Traversal” in una delle librerie utilizzate da WinRAR.
Per path traversal si intende una metodologia di attacco in cui l’attaccante accede a file e/o directory per i quali in linea teorica non dovrebbe avere accesso.
Sfruttando una falla di questo genere è possibile ottenere l’accesso ai file ed alle directory nei file di sistema. Nel caso di WinRAR gli esperti sono riusciti ad eseguire codice arbitrario utilizzando un archivio compresso appositamente predisposto.
Il problema risiede in una libreria di terze parti, denominata UNACEV2.DLL utilizzata da WinRAR, in particolare nella modalità con la quale la stessa gestisce l’estrazione dei file compressi nel formato dei dati ACE.
L’applicazione WinRAR determina il formato del file analizzando il suo contenuto e non la sua estensione, questo significa che un utente malintenzionato può modificare l’estensione .ace in estensione .rar per ingannare le vittime.
Gli esperti hanno inoltre scoperto che sfruttando la falla, un utente malintenzionato può riuscire ad estrarre i file compressi in una cartella scelta al posto della destinazione finale scelta dall’utente.
Questa possibilità è pericolosissima perché un attaccante potrebbe inserire un codice malevolo in un archivio e farlo decomprimere nella cartella di avvio di Windows in modo che possa essere eseguito automaticamente al successivo riavvio.
“Abbiamo trovato un vettore che ci consente di estrarre un file nella cartella di Esecuzione automatica senza preoccuparci del <nome utente>.
Utilizzando il seguente campo filename nell’archivio ACE: C:C:
C:../AppDataRoamingMicrosoftWindowsStart MenuProgramsStartupsome_file.exe
Che è tradotto nel seguente percorso dalla funzione CleanPath:
C:../AppDataRoamingMicrosoftWindowsStart MenuProgramsStartupsome_file.exe
Poiché la funzione CleanPath rimuove la sequenza “C: C:” si legge nell’analisi pubblicata da CheckPoint.
“Inoltre, questa cartella di destinazione verrà ignorata perché la funzione GetDevicePathLen restituirà 2 per l’ultima sequenza” C: “.”
Gli esperti hanno pubblicato il seguente video che mostra come ottenere il pieno controllo su un sistema convincendo le vittime ad aprire un archivio compresso appositamente creato utilizzando WinRAR.
Se pensate che la storia finisca qui, vi sbagliate, perché il peggio deve ancora venire. Il gruppo di sviluppo dell’applicazione WinRAR non ha infatti più accesso al codice sorgente della libreria UNACEV2.dll dal 2005 e quindi non può apportare i necessari correttivi. Unica soluzione al problema è quella di smettere di usare la libreria UNACEV2.dll, esattamente quanto fatto dagli sviluppatori di WinRAR che hanno rilasciato la versione di WinRAR 5.70 beta 1 che non supporta il formato ACE.
Non perdete tempo, installate questa nuova versione del software e non aprire archivi compressi con WinRAR che vi sono stati inviati da fonti sconosciute o non attendibili.
