Des chercheurs découvrent une vulnérabilité dans WinRar datant de près de 14 ans

Nous connaissons tous certainement le logiciel WinRar, mais pour ceux qui ne le connaissent pas il s'agit d'un utilitaire d'archivage de fichiers sous Windows qui permet de créer et d'afficher des archives aux formats de fichier RAR ou ZIP et de décompresser de nombreux formats de fichiers d'archives. On compte actuellement plus de 500 millions d'utilisateurs de ce logiciel dans le monde, selon le site web de WinRar, ce qui en fait l'outil le plus populaire au monde. La popularité de cet outil a attiré beaucoup d'attention sur lui et il s'avère que récemment, une vulnérabilité présente depuis près de 14 ans dans ce logiciel, a été découverte.

C'est une équipe de chercheurs de la firme de sécurité Check Point Software qui a fait cette découverte. Après avoir créé un laboratoire de fuzzing il y a quelques mois, cette équipe de chercheurs a d'abord travaillé sur le logiciel Adobe en se servant de WinAFL, un outil de fuzzing. Le fuzzing est une technique pour tester des logiciels. L'idée est d'injecter des données aléatoires dans les entrées d'un programme et si le programme échoue (par exemple en plantant ou en générant une erreur), alors il y a des défauts à corriger. Le grand avantage du fuzzing est que l'écriture de tests est extrêmement simple, ne demande aucune connaissance du fonctionnement du système et permet de trouver des vulnérabilités facilement.


Ce n'est qu'après avoir obtenu de bons résultats avec cette étude d'Adobe que ces chercheurs ont décidé d’intensifier leurs efforts en matière de fuzzing et se sont penchés sur le cas de WinRar. Au cours du fuzzing, une des erreurs générées a conduit les chercheurs à une ancienne bibliothèque (UNACEV2.DLL) qui n'avait pas été mise à jour depuis 2005 et qui est utilisée par WinRar pour l’analyse des archives ACE. Une étude approfondie des résultats des tests sur cette bibliothèque leur a permis de déceler un bug assez inquiétant. Ce dernier faisait en sorte que les fichiers d’archives soient extraits dans un dossier choisi par le créateur de l’archive plutôt que dans le dossier choisi par la personne utilisant le programme.

Il suffirait donc d'extraire un fichier exécutable (malveillant) dans le dossier de démarrage de Windows pour infecter l'utilisateur, mais pour le faire il faudrait que WinRar puisse s'exécuter avec des privilèges supérieurs à ceux obtenus par défaut. Pour y parvenir, les chercheurs se sont servis d'une fonction de filtrage découverte dans la bibliothèque UNACEV2.DLL et qui leur a permis d'insérer ce fichier exécutable dans le dossier de démarrage de Windows afin qu'il soit exécuté au prochain redémarrage du système. Il y a donc là vraiment de quoi paniquer quand on imagine tout ce qu'a pu faire un pirate avec une faille aussi importante et qui est restée ouverte pendant près de 14 ans.

Les responsables de WinRar ont déclaré avoir corrigé la vulnérabilité, supprimer la bibliothèque UNACEV2.DLL de son package et supprimer la prise en charge du format d'archive ACE , mais il reste encore à savoir si cela suffira à rassurer les utilisateurs. Pour le moment, il n'est pas encore possible de tirer la conclusion selon laquelle tous les logiciels utilisant la bibliothèque UNACEV2.DLL possèdent eux aussi des vulnérabilités similaires, mais tant qu'on n'en est pas certain, il vaut mieux faire preuve de prudence.

Source : Research Checkpoint

Et vous ?

Qu'en pensez-vous ?
Connaissez-vous d'autres logiciels utilisant la bibliothèque UNACEV2.DLL ?
Si oui, pensez-vous qu'il y ait des chances pour qu'ils possèdent eux aussi cette vulnérabilité ?

Voir aussi :

Des chercheurs découvrent une vulnérabilité d'exécution de code à distance dans SQLite affectant les navigateurs basés sur Chromium
Encore une autre vulnérabilité découverte dans les CPU d'Intel, le fournisseur de microprocesseurs fait des recommandations pour l'atténuer
GitHub découvre un bogue qui expose certains mots de passe en texte clair, le problème viendrait de la fonction de réinitialisation du mot de passe