发布日期：2019-02-20
更新日期：2019-02-22

受影响系统：

WinRar WinRar <  70 Beta 1

描述：

---

WinRAR是一个用于Windows系统的解压缩工具，可以创建查看rar或zip文件格式的压缩文件，并支持解压多种压缩文件格式。全世界超过5亿用户使用WinRAR，是最受欢迎的压缩工具。

WinRAR < 70 Beta 1中存在逻辑漏洞，利用该漏洞攻击者可完全控制受害者计算机。攻击者只需利用此漏洞构造恶意的压缩文件，并以钓鱼邮件、网盘、论坛等方式诱导受害者下载恶意构造文件，当受害者使用WinRAR解压该恶意文件时，即完成整个攻击过程。

该漏洞存在于WinRAR的UNACEV2.dll库中，在WinRAR解压缩.ACE文件时，由于没有对文件名进行充分过滤，导致其可实现目录穿越，将恶意文件写入任意目录，为攻击者增加后门植入方式。该漏洞在WinRAR中已存在超过19年，目前WinRAR已经放弃对该易受攻击格式（.ACE）的维护支持。

<*来源：annonymous
  *>

建议：

---

厂商补丁：

WinRar
------
WinRAR 5.70 Beta 1版本删除了UNACEV2.dll库，不支持解压.ACE文件。因此用户可更新WinRAR至此最新版本，以实现对此漏洞的防护。

32位：http://win-rar.com/fileadmin/winrar-versions/wrar57b1.exe

64位：http://win-rar.com/fileadmin/winrar-versions/winrar-x64-57b1.exe

浏览次数：2992
严重程度：0（网友投票）