Trusted Design

CVE-2023-38831 の詳細

CVEの情報

説明:
RARLAB WinRAR before 6.23 allows attackers to execute arbitrary code when a user attempts to view a benign file within a ZIP archive. The issue occurs because a ZIP archive may include a benign file (such as an ordinary .JPG file) and also a folder that has the same name as the benign file, and the contents of the folder (which may include executable content) are processed during an attempt to access only the benign file. This was exploited in the wild in April through October 2023.

CVE更新日: 2023-08-23 17:15:43.863000

CVSSバージョン: 3.1

CVSSスコア: 7.8

KEVの情報

KEV更新日: 2023-08-24

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.998150000

EPSS更新日: 2026-10-19 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2023-38831: WinRAR ZIPアーカイブの脆弱性に関する解説

1. 脆弱性の概要

CVE-2023-38831は、RARLAB WinRARに存在するリモートコード実行（RCE）の脆弱性です。攻撃者はこの脆弱性を悪用して、ZIPアーカイブ内の無害に見えるファイル（例: 画像ファイルやテキストファイル）をユーザーが閲覧しようとした際に、悪意のあるコードを実行させることが可能となります。

この脆弱性の根本原因は、WinRARがZIPアーカイブのコンテンツを処理する方法のロジックの欠陥にあります。具体的には、正規のファイルと、名前が非常に似ている（末尾にスペースが付加されているなど）ディレクトリが同じアーカイブ内に存在する場合に、WinRARとWindowsのファイルパス解決の曖昧さによって引き起こされます。ユーザーが正規のファイルをクリックすると、WinRARは実際には同じ名前の悪意のあるスクリプトや実行可能ファイルを実行してしまう可能性があります。

この脆弱性は2023年4月以降、金融セクターなどを標的とした攻撃で活発に悪用されていることが確認されています。

1.1 影響

  • 任意コード実行: 攻撃者は、ユーザーがZIPアーカイブ内のファイルを閲覧しようとした際に、被害者のシステム上で任意のコードを実行することができます。これにより、システムの整合性やデータ機密性が危殆化する可能性があります。
  • マルウェア配布: この脆弱性は、DarkMe、GuLoader、Remcos RATなどのマルウェアを配布するための初期アクセスベクトルとして利用されてきました。
  • データ窃盗およびランサムウェア: 標的型フィッシング攻撃を通じて悪用され、データ窃盗やランサムウェア感染につながる可能性があります。

1.2 深刻度

CVSSv3スコアは7.8（High）と評価されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

WinRARのバージョン6.23より前のすべてのバージョンが影響を受けます。

2.2 影響を受ける設定

不明。ただし、ZIP形式のアーカイブ処理に起因する脆弱性であり、WinRARがZIPファイルを処理する際の設定に関連する可能性があります。

3. 影響を受けた時の兆候

  • ZIPアーカイブを開いた際に、予期しない実行可能ファイルがアーカイブから抽出される。
  • ZIPコンテンツを閲覧した後、不審なプロセスが開始される。
  • 一時ディレクトリに通常とは異なるファイル名が生成される。
  • WinRARでアーカイブファイルを開いた際に、不明なプロセスが生成されたり、見慣れないスクリプトが起動したりするなど、異常な動作が見られる。

4. 推奨対策

4.1 本対策

  • WinRARのアップデート: WinRARをバージョン6.23以降にアップグレードすることが強く推奨されます。このバージョンで脆弱性は修正されており、ファイル名サニタイズが改善されています。

4.2 暫定回避策（緩和策）

  • 未知のソースからのアーカイブを開かない: 信頼できないソースからダウンロードしたアーカイブファイルを開くことを避けてください。
  • 解凍前のスキャン: 未知のソースからダウンロードしたZIPファイルは、解凍前にウイルス対策ツールでスキャンしてください。
  • 不審なメール添付ファイルの回避: 不審な電子メールなど、迷惑な手段で受け取ったZIPファイルの解凍は避けてください。
  • ZIPファイル名フィルタの構成: アップグレード前の一時的な緩和策として、グループポリシーまたはレジストリ設定によってZIPファイル名フィルタを構成することが考えられます。
  • ファイルの種類検証: ファイル拡張子ではなく、コンテンツに基づいてファイルの種類を検証するFile Type Verificationの利用も推奨されます。

参照したサイト

その他解説すべき観点

  • 悪用状況: この脆弱性は2023年4月から10月にかけて、金融トレーダーを標的としたキャンペーンで活発に悪用されていました。 Group-IBがこの脆弱性を公表した後、GitHubで概念実証（PoC）と攻撃コードの生成器が公開されました。 また、ウクライナのドローン訓練校になりすましたキャンペーンでも悪用された事例が報告されています。
  • 検出方法:
    • ZIPアーカイブから抽出された予期しない実行可能ファイル。
    • ZIPコンテンツ閲覧後に開始されたプロセス。
    • 一時ディレクトリ内の異常なファイル名。
    • Endpoint Detection and Response (EDR) ソリューションや多層的なマルウェア対策エンジン（OPSWAT MetaDefender Coreなど）を使用することで、この脆弱性の悪用を検出・軽減できる可能性があります。

NVDサイト

NVDでCVEの詳細を見る

戻る