Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-36

CVE-2018-20250

WinRAR'da ACE arşivlerinde mutlak yol üzerinden dizin geçişi açığı

Check Point Software Technologies Ltd. WinRAR

Yüksek 7,8 CVSS 3.1
Yayımlandı
Güncellendi
13 Ağu 2026
Açık yaşı
2821 gün
Kaydı açan
checkpoint
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 15 Şub 2022 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 15 Ağu 2022. Fidye yazılımı saldırılarında da kullanılmış.

ÖzetTürkçe

WinRAR'ın 5.61 sürümü dahil dahil olmak üzere önceki tüm sürümlerinde, ACE formatının dosya adı alanı (UNACEV2.dll içinde) hazırlanırken yol geçişi (path traversal) açığı bulunmaktadır. Dosya adı alanı belirli desenlerle değiştirildiğinde, hedef (çıkarma) klasörü yok sayılır ve dosya adı mutlak yol olarak işlenir.

Kaynaktaki açıklama (İngilizce)

In WinRAR versions prior to and including 5.61, There is path traversal vulnerability when crafting the filename field of the ACE format (in UNACEV2.dll). When the filename field is manipulated with specific patterns, the destination (extraction) folder is ignored, thus treating the filename as an absolute path.

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Check Point Software Technologies Ltd. WinRAR Sürüm belirtilmemiş –

Kaynaklar10 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.