近日 WinRAR 压缩软件被披露存在严重安全漏洞，将会有 5 亿用户受到影响。据了解漏洞存在于一个名为 UNACEV2.dll 的程式库中，自 2005 年起该程式库就一直没有被主动使用过。
Zerodium is paying up to $100,000 for #0day exploits (code execution) affecting the following products: WinRAR, 7-Zip, WinZip (on Windows) or tar (on Linux). Submit minimal details about your exploit and get a formal offer: https://t.co/8NeubPvSdj #BigBounties
— Zerodium (@Zerodium) 2018年8月23日
安全人员分析：“WinRAR 在打开‘booby-trapped’（诡雷程式码）文件之后，允许技术娴熟的攻击者执行‘任意恶意程式码’。”透过该漏洞，攻击者可以轻松绕过权限自动执行 WinRAR 压缩软件。期间，攻击者有机会将恶意文件放进 Windows 操作系统的启动文件夹中。也就是说，在攻击者完成了上述的一系列操作之后恶意文本将随着下一次电脑的开机自动执行，让攻击者“完全控制”受害者的电脑。
据了解，目前全球至少有超过 5 亿用户可能受到 WinRAR 压缩软件漏洞的影响，受到不同程度的骇客攻击。目前，官方已经透过升级软件修补了这个漏洞。
Check Point 称：“WinRAR 不再支援 ACE 存档格式（就是该漏洞的攻击文件），而且在上个月同时也删除了 UNACEV2.dll 档案。目前 WinRAR 发布了最新的测试版 5.70 Beta 1，已经修复了这个问题。”
但值得注意的是，现在 WinRAR 官网上预设下载的 5.61 版本并非最新版本，其中仍存在漏洞。用户需要手动下载 5.70 Beta 1 版本才行。
（本文由 雷锋网 授权转载；首图来源：shutterstock）
