近期，最知名的压缩工具——WinRAR 修复了一个高危漏洞：该漏洞被跟踪为 CVE-2023-40477，可在打开特制 RAR 文件后，使远程攻击者在目标系统上执行任意代码。

该漏洞是由零日计划的研究人员“再见”发现的，他于 2023 年 6 月 8 日向供应商 RARLAB 报告了该漏洞。

“恢复卷的处理中存在特定缺陷，”ZDI网站上发布的安全公告中写道。

“该问题是由于缺乏对用户提供的数据的正确验证而导致的，这可能导致内存访问超过分配缓冲区的末尾。

根据CVSS，由于目标需要诱骗受害者打开存档，因此该漏洞的严重性等级降至7.8。

但是，从实际角度来看，欺骗用户执行所需的操作应该不会过于具有挑战性，并且鉴于WinRAR的用户群庞大，攻击者有足够的机会成功利用。

如何降低风险

升级！！！RARLAB 于 2023 年 8 月 2 日发布了 WinRAR 6.23 版本，有效解决了 CVE-2023-40477。因此，强烈建议WinRAR用户立即应用可用的安全更新。

除了 RAR4 恢复卷处理代码修复之外，版本 6.23 还解决了特制存档导致错误文件启动的问题，这也被认为是一个高严重性问题。

还应该注意的是，Microsoft现在正在测试 Windows 11 上的 RAR、7-Zip 和 GZ 文件的本机支持，因此除非需要其高级功能，否则此版本将不再需要 WinRAR 等第三方软件。

那些继续使用WinRAR的人必须保持软件更新，因为过去类似的缺陷被黑客滥用来安装恶意软件。