ISAC Cambodia (InfoSec)
GeneralSecurity NewsVulnerability

KILLER! Unpatched WinRAR Vulnerability Puts 500 Million Users At Risk

ចំនុចខ្សោយដែលទើបតែត្រូវបានរកឃើញ (zero-day vulnerability) នៅក្នុងជំនាន់ចុងក្រោយបង្អស់នៃ WinRAR បានធ្វើឲ្យប៉ៈពាល់ទៅដល់អ្នកប្រ់ប្រាស់រាប់លាននាក់ជុំវិញពិភពលោក។

យោងទៅតាមលោក Mohammad Reza Espargham ដែលជាអ្នកស្រាវជ្រាវផ្នែកសន្តិសុខព័ត៌មាននៅ Vulnerability-Lab បានឲ្យដឹងថា ជំនាន់ចុងក្រោយនៃកម្មវិធី WinRAR 5.21 នៃកុំព្យូទ័រប្រើប្រាស់វិនដូរ គឺអាចទទួលរងផលប៉ៈពាល់ដោយសារតែចំនុចខ្សោយដែលអាចឲ្យមានការភ្ជាប់ពីចម្ងាយ (remote code execution)។

កម្មវិធី WinRAR គឺជាកូនកម្មវិធីតូចមួយដែលត្រូវបាននិយមប្រើប្រាស់ដើម្បីធ្វើការបង្រួម (compress) ឯកសារដែលមានការប្រើប្រាស់ប្រមាណជា ៥០០លាន នៅជុំវិញពិភពលោក។ ចំនុចខ្សោយនេះ គឺត្រូវបានចាត់ទុកថា “គ្រោះថ្នាក់ខ្លាំងណាស់” ហើយមានពិន្ទុ ៩ នៅក្នុង CVSS (Common Vulnerability Scoring System)។

តើចំនុចខ្សោយកើតមានឡើងយ៉ាងដូចម្តេច?

ចំនុចខ្សោយនេះត្រូវបានប្រើប្រាស់ដោយអ្នកវាយប្រហារ ដោយធ្វើការបញ្ចូលនូវ HTML code មិនសមស្រប (មេរោគ) ចូលទៅក្នុងតំបន់ “Text to display in SFX window” នៅពេលដែលអ្នកប្រើប្រាស់ធ្វើការបង្កើតនូវ SFX file ថ្មីមួយ ។

WinRAR SFX គឺជាឯកសារប្រភេទជា executable compress ដែលផ្ទុកទៅដោយឯកសារមួយឬច្រើន ហើយនឹងមានលទ្ធភាពក្នុងការពន្លា (extract) នូវឯកសារទាំងអស់ដោយខ្លួនឯងផ្ទាល់។ ផ្អែកទៅតាមវិដេអូខាងក្រោម (បង្ហោះដោយ Espargham) បានឲ្យដឹងថា ចំនុចខ្សោយនោះបានអនុញ្ញាតឲ្យមាន ការតភ្ជាប់ពីចម្ងាយចូលទៅកាន់កុំព្យូទ័ររបស់អ្នកប្រើប្រាស់ នៅពេលដែលអ្នកបើកនូវ SFX file ។

មិនទាន់មានការជួសជុលនៅឡើយទេ

ក្នុងពេលនេះគឺមិនទាន់មានការជួសជុលចំនុចខ្សោយនេះនៅឡើយទេ ហេតុដូច្នេះអ្នកដែលប្រើប្រាស់វិនដូរ អាចធ្វើតាមការណែនាំខាងក្រោម៖

– ប្រើប្រាស់កម្មវិធីផ្សេងក្រៅពី WinRAR
– មិនត្រូវចុចទៅលើឯកសារណាដែលទទួលបានពីប្រភពមិនស្គាល់
– ប្រើប្រាស់ការផ្ទៀងផ្ទាត់សិទ្ធិឲ្យបានត្រឹមត្រូវ ដើម្បីសន្តិសុខប្រព័ន្ធរបស់អ្នក

ប្រភព៖

http://seclists.org/fulldisclosure/2015/Sep/106

Show More

Phannarith

Mr. OU Phannarith is one of the well-known cybersecurity experts in Cambodia and the region. He is the founder of the first leading information security website (www.secudemy.com) in Cambodia. He has been invited to present in global conferences, forums, and seminars and he was awarded in Information Security Leadership Achievements (ISLA) in 2016 by (ISC)2 and in December 2012 as one of the top 10 Chief Information Security Officers (CISO) in ASEAN by the International Data Group (IDG). Mr. OU has been the Professor specializing in Cybersecurity.

Related Articles

Back to top button