WinRARに深刻な脆弱性が発覚、今すぐアップデートを

数百万人に利用されているWindows用の圧縮・解凍ユーティリティ「WinRAR」に、アーカイブを開くだけでコンピュータ上でコマンドを実行できる深刻度の高い脆弱性が発覚しました。

この脆弱性はCVE-2023-40477として追跡されており、特別に細工されたRARファイルが開かれた後、リモートの攻撃者がターゲットシステム上で任意のコードを実行できる可能性があります。

既にこの脆弱性に対処した「WinRAR バージョン 6.23」が配信されているので、WinRARユーザーは速やかにアップデートを適用しておきましょう。

脆弱性の概要
対処状況：WinRAR バージョン 6.23にて修正済み

脆弱性の概要

この脆弱性は、ユーザーが指定したデータが適切に検証されていないことが原因で、割り当てられたバッファの終わりを超えてメモリアクセスが発生する可能性があるとのこと。

ターゲットは被害者をだましてアーカイブを開かせる必要があるため、CVSSによると、この脆弱性の深刻度評価は7.8に下がりますが、一方でソフトの性質上、ユーザーをだまして必要なアクションを実行させるのはそれほど難しいことではなく、WinRARが多数のユーザーを持つことを考慮すれば、攻撃者が悪用に成功する機会は十分にありえます。

対処状況：WinRAR バージョン 6.23にて修正済み

RARLABは、2023年8月2日に WinRAR バージョン 6.23をリリースし、CVE-2023-40477に対処済みです。RAR4 リカバリボリューム処理コードの修正とは別に、バージョン 6.23では、不正なファイルの開始につながる特別に作成されたアーカイブに関する問題にも対処しています。これも重大度の高い問題と考えられています。

現在WinRARを利用しているユーザーは、利用可能なセキュリティ更新プログラムを直ちに適用するようにしてください。