Microsoft решила сделать полноценный архиватор

В течение многих лет операционные системы Windows поддерживали только распаковку zip-архивов, в то время как для работы с остальными форматами требовались отдельные приложения. Однако, в свежей бета-версии Windows 11, Microsoft наконец-то решила эту проблему, добавив нативную поддержку нескольких популярных форматов, включая известный RAR.

Данное нововведение было внедрено в тестовой сборке 22631.2199. Полный список форматов, поддерживаемых "из коробки", включает: .zip, .rar, .7z, .tar, .tar.gz, .tar.bz2, .tar.zst, .tar.xz, .tgz, .tbz2, .tzst, .TXZ и другие.

В дополнение к расширенной поддержке форматов архивных файлов (только для распаковки), новая сборка также содержит несколько других полезных функций. Среди них можно выделить расширенные настройки панели задач, новые возможности экранного диктора и исправление предварительного просмотра эскизов облачных файлов в меню "Пуск". О конкретных сроках появления этих нововведений в стабильной версии операционной системы будет объявлено позднее.

Для чего это Microsoft?

Опасная уязвимость в популярном архиваторе WinRAR позволяет хакерам получить полный контроль над компьютером пользователя. Эта новая уязвимость ставит под угрозу более чем полмиллиарда пользователей WinRAR. Злоумышленники могут использовать специально созданный RAR-архив, чтобы выполнить произвольный код на компьютере жертвы. Разработчики WinRAR уже выпустили исправление для этой уязвимости.

Уязвимость позволяет злоумышленнику выполнять любые команды на компьютере жертвы при открытии предоставленного архива. Эта уязвимость идентифицируется как CVE-2023-40477 и позволяет удаленному злоумышленнику выполнить произвольный код на атакуемой машине с помощью специально подготовленного RAR-файла.

Хотя эксплуатация этой уязвимости требует действий со стороны пользователя, таких как открытие архива, ее опасность все равно значительна, хотя и ниже, чем могла бы быть. Она оценивается на 7,8 балла по шкале CVSS.

Однако, как отмечает Bleeping Computer, злоумышленникам может быть несложно склонить пользователя к выполнению нужных действий, а именно разархивировать архив. Учитывая огромное количество пользователей WinRAR, у хакеров есть большие шансы найти свою жертву.

На своем официальном сайте компания-разработчик WinRAR заявляет, что их архиватор является самым популярным инструментом для сжатия данных в мире, им пользуется более 0,5 млрд человек.

Баг был обнаружен исследователем безопасности, известным под псевдонимом goodbyeselene, в рамках проекта Zero Day Initiative (ZDI) компании Trend Micro. Он сообщил о своем открытии разработчикам WinRAR, компании Rarlabs, 8 июня 2023 года.

Уязвимость касается механизма обработки томов для восстановления WinRAR. Тома - это специальные файлы с расширением REV, которые автоматически создаются программой при упаковке данных в архивы, состоящие из нескольких файлов (томов). Они обычно используются для хранения большого объема информации на нескольких носителях меньшей вместимости, таких как гибкие диски или компакт-диски. Тома для восстановления предназначены для воссоздания поврежденных томов.

На сайте Zero Day Initiative говорится, что проблема заключается в недостаточной проверке передаваемых пользователем данных, что может привести к доступу к памяти за пределами выделенного буфера.

Для обеспечения безопасности пользователей, компания Rarlab исправила уязвимость CVE-2023-40477 в версии WinRAR 6.23, выпущенной 2 августа 2023 года. Чтобы защитить себя, рекомендуется установить это обновление.

В будущем пользователи Windows, возможно, смогут полностью отказаться от использования WinRAR, так как Microsoft планирует встроить нативную поддержку архивов форматов RAR и 7-Zip в свою последнюю версию операционной системы.

Необходимо учитывать, что создание RAR-архивов в Windows 11 с высокой вероятностью не будет возможно, так как libarchive поддерживает только распаковку файлов этого формата. Поэтому те, кто хочет не только просматривать и извлекать содержимое RAR-файлов, но и производить обратную операцию, должны использовать WinRAR, но это пока.