WinRAR sérülékenység
A Trend Micro jelentette, hogy a WinRAR Windows-verziója egy újabb súlyos biztonsági rést tartalmaz, amelynek következtében a szoftver nem a felhasználó által megadott mappába, hanem manipulált útvonal alapján képes kicsomagolni fájlokat. Ez lehetővé teszi, hogy támadók rosszindulatú kódot helyezzenek el.
A sérülékenységet CVE‑2025‑6218 szám alatt jegyezték be, CVSS-pontszáma 7,8, ami magas kategóriát jelent. A hiba könnyen kihasználható, egy gondosan előkészített tömörítés útvonalainak ötvözése lehetővé teszi a kódfuttatást, ráadásul anélkül, hogy a felhasználó explicit engedélyt adna. Az exploit teljesen felhasználókontextusban működik, de figyelmeztetés nélkül lépi át a Windows Mark‑of‑the‑Web védelmet.
A gyártó már kiadott egy javító béta verziót, a 7.12b1-et, amely javítja a hibát – a Windows-verziók tehát érintettek, míg a Unix, Android vagy UnRAR könyvtári változatok nem áldozatai ennek a problémának. Ez az incidens emlékeztet a korábbi, 2023‑as CVE‑2023‑38831 – alias ZIP zero‑day támadásra, amely szintén kódvégrehajtást tett lehetővé WinRAR verziókban, amikor egy nevével megtévesztő fájl és egy ugyanolyan nevű mappa okozott zavart a kicsomagolás során. Akkor malware-ek – például Agent Tesla, DarkMe – elterjedésében játszott szerepet a sérülékenység.
Frissítés ajánlott a 7.12 vagy újabb verzióra.
