imbyter-WinRAR_CVE-2023-38831

💥 Описание уязвимости WinRAR (CVE-2023-38831)

В версиях WinRAR до 6.23 существует уязвимость подделки расширения файла. Злоумышленник может использовать эту уязвимость для создания специального архива, содержащего якобы безвредные файлы, например изображения JPG (.jpg), текстовые файлы (.txt) или PDF-документы (.pdf), а затем убедить пользователя открыть эти файлы напрямую без распаковки, что позволит выполнить произвольный код на машине жертвы.

• Идентификатор уязвимости: CVE-2023-38831
• Тип уязвимости: логическая уязвимость
• Название ПО: RARLAB WinRAR
• Имя модуля: WinRAR.exe
• История уязвимостей: Согласно результатам поиска на https://vuldb.com, исторических уязвимостей не так много, а тех, которые можно стабильно эксплуатировать, еще меньше.
• Затронутые версии: версии < 6.23 (согласно тестам, версии 5.x не подвержены уязвимости)

🧨 Тестовый POC-архив

Файл: test.zip

Это уже готовый архив с уязвимостью CVE-2023-38831. При открытии файла 2.jpg внутри архива с помощью версии WinRAR<6.23 будет выполнен bat-скрипт, содержащийся в архиве. Содержимое bat-скрипта:

echo off
mshta vbscript:msgbox("你电脑已经被我控制！！！",64,"被黑了")(window.close)
shutdown -s -t 60

После успешного тестирования появится предупреждение о выключении. Чтобы отменить выключение, введите в cmd команду shutdown -a.

🧑‍💻 Python-код

Файл: make-poc.py

Используется для автоматического преобразования входного файла в POC-архив.

🥝 Подробное описание

См.: https://flowus.cn/share/a3b35db0-ab5e-4abc-b8d3-5ff284e82e7b