imbyter-WinRAR_CVE-2023-38831

💥 WinRAR 脆弱性の説明（CVE-2023-38831）

WinRARバージョン6.23より前には、ファイル拡張子を偽装できる脆弱性が存在します。攻撃者はこの脆弱性を利用して、特別に細工された圧縮ファイル内の一見無害なファイル（例：JPG（.jpg）画像ファイル、テキストファイル（.txt）、PDF文書（.pdf）など）を仕込み、ユーザーを騙して解凍せずに直接これらのファイルを開かせることで、被害者のマシン上で任意のコードを実行できます。

• 脆弱性ID：CVE-2023-38831
• 脆弱性タイプ：ロジック脆弱性
• ソフトウェア名：RARLAB WinRAR
• モジュール名：WinRAR.exe
• 過去の脆弱性：https://vuldb.com の検索結果から見ると、過去の脆弱性はそれほど多くなく、安定して悪用できるものはさらに少ないです。
• 影響バージョン：バージョン番号 < 6.23（実測では5.x系は影響を受けない）

🧨 テスト用POC圧縮ファイル

ファイル：test.zip

これはCVE-2023-38831の脆弱性が存在する作成済みの圧縮ファイルです。WinRAR<6.23のバージョンで圧縮ファイル内の2.jpgを直接開くと、圧縮ファイル内のbatスクリプトが実行されます。batスクリプトの内容は次のとおりです：

echo off
mshta vbscript:msgbox("你电脑已经被我控制！！！",64,"被黑了")(window.close)
shutdown -s -t 60

テストが成功するとシャットダウンを促すメッセージが表示されます。cmdでshutdown -aを入力すると、シャットダウンタスクをキャンセルできます。

🧑‍💻 Pythonコード

ファイル：make-poc.py

入力されたファイルを自動的にPOCの圧縮ファイルに変換するために使用します

🥝 詳細説明

参照：https://flowus.cn/share/a3b35db0-ab5e-4abc-b8d3-5ff284e82e7b