吳明宜WinRAR修補了一個高風險漏洞CVE-2023-40477，允許遠端攻擊者通過壓縮檔執行惡意程式碼。
最受歡迎的壓縮檔工具之一： WinRAR，近日修補了一項可在用戶開啟壓縮檔時執行程式碼的高風險漏洞。
最新修補的漏洞是 CVE-2023-40477，可讓遠端攻擊者傳送惡意 RAR 檔給受害者，等受害者開啟檔案時，在其電腦上執行任意程式碼。
這漏洞是由 Zero Day Initiative 研究人員 goodbyeselene 發現並於 6 月 8 日通報 RARLAB 。
ZDI 安全公告指出，這漏洞存在檔案回復 volumes 的處理過程，出於使用者輸入資料的驗證不足，可導致攻擊者得以存取分配的緩衝記憶體。由於攻擊者需要誘騙受害者開啟檔案，因此風險值略為調降到 7.8 。
不過，由於 WinRAR 用戶眾多，因此要成功找到受害者開啟檔案並不難。
RARLAB 已在 8 月初釋出 WinRAR 6.23 版解決漏洞。 2019 年 WinRAR 程式也爆了個漏洞，可讓攻擊者傳送惡意 WinRAR 檔案以便儲存在任何目錄下，使不知情的用戶點選並執行惡意程式。
由於 Windows 11 即將原生支援第三方壓縮檔格式，如.RAR 、.7z 及.gz，照理說用戶不需再下載 WinRAR，除非你需要進階功能。如果你電腦上有這個程式，最好及早更新到最新版本。