轉載「WinRAR 嚴重漏洞，開啟壓縮檔可讓駭侵者遠端執行任意程式碼」訊息

  【軟硬體漏洞資訊】

WinRAR 嚴重漏洞，開啟壓縮檔可讓駭侵者遠端執行任意程式碼

資安廠商趨勢科技旗下的資安研究團隊 Zero Day Initiatives 日前發表研究報告，指出該單位的資安研究人員，近期發現 WinRAR 內含一個嚴重漏洞，駭侵者可藉以在使用者開啟 RAR 壓縮檔時，遠端執行任意程式碼。

該漏洞的 CVE 編號為 CVE-2023-40477，問題源自對於復原檔案卷宗在處理上的錯誤，未能適當驗證用戶輸入的資訊，使得驗侵者可存取已分配緩衝區之外的記憶體。

發現該漏洞的 Zero Day Initiatives，在 2023 年 6 月 8 日將本漏洞通報給 WinRAR 的開發廠商 RARLAB，RARLAB 則是在近 2 個月後的 8 月 2 日推出新版的 WinRAR 6.23，解決了 CVE-2023-40477 這個漏洞。

RARLAB 這次發表的 WinRAR 6.23 版本，同時也修復了另一個由 Group-IB 發現的資安漏洞，駭侵者可利用特製的 RAR 壓縮檔讓用戶開啟錯誤的檔案。

• CVE 編號：CVE-2023-40477
• 影響產品：WinRAR 6.23 先前版本。
• 解決方案：立即更新 WinRAR 至 6.23 與後續版本。

詳細資訊請參考：https://www.twcert.org.tw/tw/cp-104-7325-15cc1-1.html