🛡 概要
WinRARは、特定の条件下で悪意のあるアーカイブからマルウェアが実行される可能性のあるディレクトリトラバーサルの脆弱性CVE-2025-6218を修正しました。この脆弱性は、セキュリティ研究者whs3-detonatorによって発見され、2025年6月5日にZero Day Initiativeを通じて報告されました。WinRARのWindows版に影響を及ぼし、バージョン7.11以前が対象です。この問題に対する修正は、WinRARバージョン7.12ベータ1でリリースされました。
🔍 技術詳細
CVE-2025-6218は、CVSSスコア7.8（高危険度）を付与されており、WinRARが特別に作成されたアーカイブ内のパスを使用するように欺かれる可能性があります。具体的には、悪意のあるアーカイブに含まれる相対パスが、ユーザーが指定したパスではなく、システムディレクトリや自動実行フォルダなどの敏感な場所にファイルを「静かに」抽出させることがあります。これにより、悪意のあるファイルが自動的に実行され、危険なコードが実行される危険性があります。ユーザーの操作が必要ですが、古いバージョンのWinRARを利用しているユーザーが多いため、リスクは依然として高いです。
⚠ 影響
CVE-2025-6218のリスクは、ユーザーが悪意のあるアーカイブを開くか、特別に作成されたページを訪れる必要があるため、制限されています。しかし、WinRARは広く利用されているソフトウェアであり、悪意のあるアーカイブの配布方法は多岐にわたります。これにより、ユーザーのデータ（ブラウザのクッキーや保存されたパスワードなど）が盗まれたり、持続的なメカニズムがインストールされたり、さらなる移動のためのリモートアクセスが提供される危険があります。
🛠 対策
WinRARの全ユーザーは、プラットフォームに関係なく、最新バージョンへのアップグレードを直ちに行うことが推奨されます。特に、CVE-2025-6218はUnix版、Android版、ポータブルUnRARソースコードには影響しませんが、WinRARの広範な展開を考慮すると、迅速なアップデートが重要です。最新のWinRARバージョンでは、HTMLインジェクションの問題やその他のマイナーな問題も修正されているため、セキュリティを強化するためにもアップデートは必須です。
