Windowsなどで利用されている圧縮・解答ツール「WinRAR」で、遠隔から任意のコードを実行されてしまう脆弱性情報が公表された。既にコンセプト実証コード（PoC）も公開されたが、10月1日時点で修正版は公開されていない。

ESETのセキュリティニュースサイト「welivesecurity」によると、脆弱性はイラン・ヤスド大学の研究者モハンマド・エスパラガム氏が報告したもの。WinRAR SFX v5.21のself-extracting（SFX）モジュールに存在する。攻撃者は、脆弱性を悪用して不正なHTMLコードを含む圧縮ファイルを作成し、ユーザーにこのファイルを開かせることで、遠隔から任意のコードを実行できてしまうという。

研究者が公開した実証動画

エスパラガム氏によれば、脆弱性の影響度は深刻レベルにあたり、共通脆弱性評価システム（CVSS）による分析では深刻度を9.2（最大値は10.0）だとしている。同氏は脆弱性のPoCや実証動画も公開した。

これを受けてWinRARの開発元は、ユーザーにSFXモジュールの特徴などを説明するWebページを公開。同モジュールを利用するシーンは実際には限られるとしたほか、こうした問題に関係なく「ユーザーは常に信頼できるソースから入手すべきだ」と主張している。

開発元の声明

Copyright © ITmedia, Inc. All Rights Reserved.