imbyter-WinRAR_CVE-2023-38831

💥 شرح ثغرة WinRAR (CVE-2023-38831)

قبل الإصدار 6.23 من WinRAR توجد ثغرة تسمح بانتحال امتدادات الملفات. يمكن للمهاجم استغلال هذه الثغرة لإنشاء ملفات تبدو غير ضارة داخل أرشيف مضغوط مخصص، مثل ملفات صور JPG (.jpg) أو ملفات نصية (.txt) أو مستندات PDF (.pdf)، ثم خداع المستخدم لفتح هذه الملفات مباشرةً دون فك الضغط، مما يتيح تنفيذ تعليمات برمجية عشوائية على جهاز الضحية.

• معرف الثغرة: CVE-2023-38831
• نوع الثغرة: ثغرة منطقية
• اسم البرنامج: RARLAB WinRAR
• اسم الوحدة: WinRAR.exe
• الثغرات السابقة: استنادًا إلى نتائج البحث في https://vuldb.com، لم تكن هناك ثغرات سابقة كثيرة، والثغرات التي يمكن استغلالها بشكل موثوق أقل.
• الإصدارات المتأثرة: رقم الإصدار < 6.23 (أظهرت الاختبارات أن إصدارات 5.x غير متأثرة بالثغرة)

🧨 حزمة POC للاختبار

الملف: test.zip

هذا أرشيف جاهز يحتوي على ثغرة CVE-2023-38831. عند فتح 2.jpg داخل الأرشيف مباشرةً باستخدام إصدار WinRAR<6.23، سيتم تشغيل سكربت bat الموجود في الأرشيف. محتوى سكربت bat كما يلي:

echo off
mshta vbscript:msgbox("你电脑已经被我控制！！！",64,"被黑了")(window.close)
shutdown -s -t 60

بعد نجاح الاختبار، سيظهر إشعار بإيقاف التشغيل. يمكنك إدخال في cmd لإلغاء مهمة إيقاف التشغيل.