「WinRAR」のリモートコード実行の脆弱性「CVE-2023-40477」を危惧する声が広がる

「WinRAR」v6.23

　独win.rarは8月25日（現地時間）、海外のテックブログなどを中心に話題となっている「WinRAR」の脆弱性「CVE-2023-40477」に関し、詳細なセキュリティ情報を明らかにした。「WinRAR」のユーザーだけでなく、「UnRAR.dll」「UnRAR64.dll」を利用するアプリ開発者から多くの問い合わせがあったようだ。

　この脆弱性は、古い「RAR 3.0」フォーマットでリカバリボリューム名を処理する際に、バッファオーバーフローが発生するというもの。最悪の場合、リモートから任意のコードを実行されてしまう可能性がある。CVSSの基本値は「7.8」。

　同社は8月2日付けでリリースした「WinRAR 6.23」でこの問題に対処済み。しかし、この時点でCVE番号は公表されておらず、8月17日にトレンドマイクロのセキュリティ部門「Zero Day Initiative」がセキュリティ情報（ZDI-23-1152）で「CVE-2023-40477」として明らかにしたことをきっかけに、この脆弱性を懸念する声が広がったようだ。

　「WinRAR」の開発チームによると、本脆弱性を悪用するにはREVファイルの名前に細工を施してフォルダーに配置し、そのフォルダーでユーザーに「RAR」ファイルの解凍を開始させる必要がある。リモートコード実行を実証したコード（PoC）も今のところ公開されていない。

　そのため、悪用は不可能とは言えないまでも、リモートコード実行にまで繋げるのは困難で、せいぜいアプリがクラッシュする程度だとみられている。

　とはいえ、狡猾なハッカーがこの脆弱性をなんらかの手段で悪用する可能性は否定できない。「WinRAR」に限らず、アプリは常に最新バージョンを利用することをお勧めする。

　ちなみに、「UnRAR.dll」「UnRAR64.dll」には今回の脆弱性に関する処理が含まれておらず、心配する必要はないとのこと。