S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 11 octobre 2005
N° CERTA-2005-AVI-393
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Multiples vulnérabilités de WinRAR

Gestion du document

Référence CERTA-2005-AVI-393
Titre Multiples vulnérabilités de WinRAR
Date de la première version11 octobre 2005
Date de la dernière version21 novembre 2005
Source(s) Liste des changements dans WinRAR 3.51
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Exécution de code arbitraire

Systèmes affectés

WinRAR versions 3.50 et antérieures.

Résumé

Deux vulnérabilités dans WinRAR permettent à un utilisateur distant mal intentionné d'exécuter du code arbitraire à distance.

Description

Deux vulnérabilités sont présentes dans WinRAR :

  • une erreur dans la mise en œuvre de l'affichage de la fenêtre de diagnostic lors d'un décodage de fichier au format UUE ou XXE permet à un utilisateur distant mal intentionné d'exécuter du code arbitraire par le biais d'un fichier encodé en UUE ou en XXE malicieusement construit ;
  • une erreur dans la mise en œuvre de la décompression des fichiers de type ACE permet à un utilisateur distant mal intentionné d'exécuter du code arbitraire par le biais d'un fichier ACE malicieusement constitué.

Solution

Mettre à jour WinRAR en version 3.51 :

http://www.rarlabs.com/download.htm

Documentation

Gestion détaillée du document

    le 11 octobre 2005
    version initiale.
    le 21 novembre 2005
    ajout de la référence au bulletin de sécurité Gentoo.