タダで使える試用ソフトはタダではないかも ～「WinRAR」の脆弱性を外部研究者が解説

「WinRAR 5.70」の当該ダイアログで偶然にも発見されたJavaScriptエラー

　ロシアのセキュリティベンダーPositive Technologiesは10月20日（現地時間）、試用版の「WinRAR」で発見したリモートコード実行（RCE）の脆弱性（CVE-2021-35052）について解説した。

　「WinRAR」には試用期間が設けられているが、それが過ぎた後も、定期的に購入を促すダイアログが現れるだけで、そのまま無償で使い続けることができる。

　しかし、同社のセキュリティチームは「WinRAR 5.70」の当該ダイアログで偶然にも奇妙なJavaScriptエラーを発見。調査を進めると、このダイアログには「Internet Explorer」コンポーネントが用いられており、ユーザーの「WinRAR」バージョンとアーキテクチャーを送出していることを突き止めた。

　そこで、セキュリティチームが「WinRAR」からのレスポンス改変を試みたところ、すでにローカルネットワークへの侵入を許している場合、ARPスプーフィングによりダイアログへ悪意あるコンテンツを挿入し、偽の購入サイトへ誘導したり、任意のアプリケーションを起動できてしまうことが判明したという。

ダイアログへ悪意あるコンテンツを挿入

任意のアプリケーションを起動

　なお、今年6月に公開された「WinRAR 6.02」のリリースノートには報告者のIgor Sak-Sakovskiy氏の名前がクレジットされており、この脆弱性は修正されたものと思われる。これは基本的なことだが、試用版であってもアプリケーションに最新版がリリースされた場合はできるだけ早めに更新するよう心がけたい。