La dernière « bêta » de l’utilitaire WinRAR corrige une vulnérabilité âgée d’au moins 19 ans. Elle est jugée importante et grave. Détails.
WinRAR est un outil populaire de compression de données. Un bug de sécurité touche sa mécanique. Il permet à des pirates d’utiliser une archive pour ajouter des logiciels malveillants au dossier de démarrage du système d’exploitation. Découvert par Check Point Software Technologies, cette vulnérabilité concerne le format d’archive ACE qui s’appuie sur une bibliothèque mise à jour pour la dernière fois en 2005.
Selon l’étude, le fichier ACE créé peut-être renommé au format RAR. Lors de l’extraction, un élément malveillant inclus dans l’archive peut être automatiquement ajouté au dossier de démarrage. Ainsi, un virus peut s’exécuter à chaque démarrage de l’ordinateur. Si un antivirus peut le détecter, le pirate peut simplement utiliser une application de téléchargement classique pour installer d’autres outils notamment pour désactiver l’antivirus.
Winrar, un correctif est disponible dans la dernière version bêta
Cette vulnérabilité a été corrigée dans la dernière version de WinRAR. La solution passe par une méthode radicale. Elle supprime tout simplement le support du format ACE.
La note de version explique
« Nadav Grossman de Check Point Software Technologies nous a informé de l’existance d’une faille de sécurité dans la bibliothèque UNACEV2.DLL. Cette vulnérabilité rend possible la création de fichiers dans des dossiers arbitraires à l’intérieur ou à l’extérieur du dossier de destination lors de la décompression des archives ACE. WinRAR a utilisé cette bibliothèque tierce pour décompresser les archives ACE. UNACEV2.DLL n’avait pas été mis à jour depuis 2005 et nous n’avons pas accès à son code source. Nous avons donc décidé de supprimer la prise en charge du format d’archive ACE afin de protéger la sécurité de nos utilisateurs. »
Nous ne savons pas combien de système sont concernés par ce problème. Etant donné que WinRar est un outil très populaire, le nombre de victime est probablement important. Nous n’avons pas de calendrier autour de la sortie de la version stable épaulée de ce correctif.
