WinRAR 7.23: poprawki bezpieczeństwa po 30 latach

Twórcy WinRAR udostępnili wersję 7.23, która zawiera poprawki błędów zgłoszonych przez społeczność oraz poprawki luk bezpieczeństwa. W komunikacie wskazano, że wydanie stało się możliwe dzięki większej liczbie opłacanych licencji.

Aktualizacja naprawia błąd przepełnienia sterty w kodzie odpowiedzialnym za rekonstrukcję danych z woluminów naprawczych RAR5. Problem dotyczył programów WinRAR, RAR i UnRAR; biblioteka UnRAR.dll nie przetwarza woluminów naprawczych, więc nie była podatna na tę usterkę. Autorzy podziękowali za zgłoszenie Arjuniowi Basnetowi z firmy Securin Labs.

Kolejna poprawka eliminuje możliwość utworzenia dowiązania symbolicznego prowadzącego poza folder docelowy podczas rozpakowywania spreparowanego archiwum RAR. Luka mogła występować w WinRAR, RAR, UnRAR oraz w bibliotece UnRAR.dll i pozwalała na atak typu path traversal. Do kodu rozpakowywania dodano dodatkową weryfikację, która zapobiega umieszczaniu plików poza katalogiem docelowym także przy wielokrotnych poleceniach ekstrakcji. Zgłoszenie tej wady wpłynęło od badacza operującego pod pseudonimem scofaild23-bnomran.

Dostarczono też uaktualnioną bibliotekę 7zxa.dll w wersji 26.02, zawierającą poprawki błędów i luk bezpieczeństwa wprowadzone przez jej twórcę. W obszarze wiersza poleceń poprawiono zachowanie przełącznika -iver, który teraz wyświetla wersję programu RAR nawet gdy zdefiniowano przełącznik -idc, oraz dodano znak nowego wiersza do wyjścia tego polecenia.

Twórcy przypomnieli, że WinRAR jest na rynku od ponad 30 lat i w wersji graficznej działa wyłącznie na systemach Windows; na macOS i Linuxie dostępna jest jedynie wersja wiersza poleceń. Od wersji 7.01 program nie obsługuje 32-bitowego Windowsa. Producent przypomina także o obowiązującym modelu licencyjnym: teoretyczny, 40-dniowy okres próbny i cena licencji wynosząca co najmniej około 185 zł; jednocześnie aplikacja nadal działa po upływie okresu próbnego.

Autorzy napisali, że wydanie 7.23 powstało dzięki rosnącej liczbie osób kupujących licencje i w mediach społecznościowych łączyli ten wątek ze sprzedażą gadżetów nawiązujących do programu. W komunikacie pojawił się też żart, że na wersję 7.24 potrzeba miliona dolarów, a twórcy zorganizują imprezę, gdy ktoś faktycznie zapłaci za licencję.

Aktualizację można pobrać ze strony WinRAR.