imbyter-WinRAR_CVE-2023-38831

💥 WinRAR-Sicherheitslücke (CVE-2023-38831)

In WinRAR-Versionen vor 6.23 existiert eine Schwachstelle, die es ermöglicht, Dateierweiterungen zu fälschen. Ein Angreifer kann diese ausnutzen, um in einer speziell präparierten Archivdatei harmlos erscheinende Dateien – wie JPG-Bilddateien (.jpg), Textdateien (.txt) oder PDF-Dokumente (.pdf) – zu platzieren. Wird das Opfer dazu verleitet, diese Dateien direkt (ohne Entpacken) zu öffnen, kann der Angreifer auf dem Rechner des Opfers beliebigen Code ausführen.

• Schwachstellen-ID: CVE-2023-38831
• Schwachstellentyp: Logische Schwachstelle
• Software: RARLAB WinRAR
• Modulname: WinRAR.exe
• Historische Schwachstellen: Nach Ergebnissen von https://vuldb.com gibt es nicht viele historische Schwachstellen; noch weniger lassen sich stabil ausnutzen.
• Betroffene Versionen: Version < 6.23 (getestet: Versionen 5.x sind nicht betroffen)

🧨 Test-POC-Archiv

Datei: test.zip

Dies ist ein bereits erstelltes Archiv mit der CVE-2023-38831-Schwachstelle. Öffnet man mit einer WinRAR-Version (<6.23) direkt die Datei 2.jpg im Archiv, wird das darin enthaltene BAT-Skript ausgeführt. Der Inhalt des BAT-Skripts lautet:

echo off
mshta vbscript:msgbox("Dein Computer wurde von mir übernommen!!!",64,"Gehackt")(window.close)
shutdown -s -t 60

Nach erfolgreichem Test wird ein Herunterfahren angekündigt. Mit shutdown -a in der Eingabeaufforderung kann der Herunterfahrvorgang abgebrochen werden.

🧑‍💻 Python-Code

Datei: make-poc.py

Dient zum automatischen Erstellen eines POC-Archivs aus einer Eingabedatei

🥝 Ausführliche Erläuterung

Siehe: https://flowus.cn/share/a3b35db0-ab5e-4abc-b8d3-5ff284e82e7b