常用軟體WinRAR中現新安全漏洞 可致攻擊者入侵網路修改資料

WinRAR trialware檔案歸檔實用程式(WinRAR trialware file archiver utility for Windows)披露了一個新的安全漏洞，遠端攻擊者可能會濫用該漏洞，在目標系統上執行任意程式碼，這突顯出此類軟體的漏洞可能為一系列攻擊提供閘道器。

該漏洞被跟蹤為CVE-2021-35052，影響了執行5.70版軟體的試用版。“這個漏洞允許攻擊者攔截和修改傳送給應用程式使用者的請求，”Positive Technologies的安全研究人員在一篇技術文章中說。“這可用於在受害者的計算機上實現遠端程式碼執行 (RCE)。”

研究人員安裝了該軟體並注意到它產生了JavaScript錯誤，具體錯誤表明Internet Explorer引擎正在呈現此錯誤視窗。

研究人員指出，WinRAR的調查是在觀察到MSHTML(又名Trident)呈現的一個JavaScript錯誤後開始的。MSHTML是一種專為現已停止使用的ie開發的瀏覽器引擎，用於在Office中呈現Word、Excel和PowerPoint文件中的網頁內容，導致在試用期滿後啟動應用程式時，發現錯誤視窗每三次顯示一次。

透過攔截 WinRAR透過“notifier.rarlab[.]com”提醒使用者免費試用期結束時傳送的響應程式碼，並將其修改為“ 301 Moved Permanently ”重定向訊息，Positive Technologies 發現它可能被濫用為所有後續請求快取重定向到攻擊者控制的惡意域。

最重要的是，已經可以訪問同一網路域的攻擊者可以進行ARP欺騙攻擊，以遠端啟動應用程式、檢索本地主機資訊，甚至執行任意程式碼。

專家指出，第三方軟體中的漏洞給組織帶來了嚴重的網路安全風險，它們可以被利用來訪問系統的任何資源，並可能訪問託管它的網路。

稽核使用者可能安裝的每個應用程式是不現實的，因此對於管理與外部應用程式相關的風險以及平衡此風險與各種應用程式的業務需求之間的策略至關重要。管理不當可能會產生嚴重的後果。

軟體安全漏洞為企業及個人帶來意想不到的網路攻擊，這些“潛伏”在軟體中的漏洞為駭客提供了破壞網路及資料的“捷徑”。資料顯示，90%以上的網路安全事件是由軟體自身安全漏洞被利用導致的，可以說，不安全的軟體大大提高了網路系統遭到攻擊的風險。

然而，透過安全可信的自動化靜態程式碼檢測工具能有效減少30-70%的安全漏洞!諸如緩衝區溢位漏洞、注入漏洞及XSS等，更是可以在不執行程式碼的情況下就能檢測出來。此外 靜態程式碼檢測有助於開發人員第一時間發現並修正程式碼缺陷，這將為開發人員節省大量時間，同時也能降低企業維護安全問題的成本。作為傳統網路安全防禦措施的重要補充手段，使用靜態程式碼檢測工具提高軟體自身安全性已成為國際共識。

參讀連結：