Phiên bản WinRAR 7.23 đã khắc phục một lỗ hổng tràn bộ nhớ heap (heap overflow) mới được phát hiện trong quá trình xử lý thể tích phục hồi (recovery volume) của định dạng RAR5, được định danh là CVE-2026-14191. Lỗ hổng này có thể dẫn đến sự cố ứng dụng hoặc các cuộc tấn công nghiêm trọng hơn.
Chi tiết Lỗ hổng Heap Overflow CVE-2026-14191
Nguyên nhân và cơ chế khai thác
Lỗ hổng tràn bộ nhớ heap này tồn tại trong logic tái cấu trúc dữ liệu từ các thể tích phục hồi RAR5. Các tệp này, thường có đuôi `.rev`, được sử dụng để sửa chữa các kho lưu trữ đa phần bị lỗi. Khi dữ liệu từ một thể tích phục hồi RAR5 được chế tạo đặc biệt được xử lý, nó có thể gây ra các ghi vượt quá giới hạn (out-of-bounds writes) trên vùng nhớ heap.
Việc ghi dữ liệu ngoài phạm vi này làm hỏng các cấu trúc dữ liệu trong bộ nhớ, dẫn đến sự bất ổn định của các tệp tin thực thi WinRAR, RAR, và UnRAR. Mặc dù thư viện UnRAR.dll do RARLAB phân phối không thực hiện xử lý thể tích phục hồi và do đó không bị ảnh hưởng trực tiếp bởi lỗ hổng này, các thành phần khác vẫn tiềm ẩn nguy cơ.
Để khai thác thành công, kẻ tấn công cần thuyết phục người dùng hoặc một ứng dụng nào đó xử lý các thể tích phục hồi RAR5 độc hại. Điều này thường xảy ra khi các tệp `.rev` được chế tạo độc hại được phân phối cùng với nội dung hợp pháp.
Ảnh hưởng của lỗ hổng
Việc khai thác thành công lỗ hổng CVE-2026-14191 có thể gây ra tình trạng từ chối dịch vụ (Denial of Service – DoS) do WinRAR bị treo. Tùy thuộc vào cơ chế phân bổ bộ nhớ và các biện pháp giảm thiểu khác trên hệ thống, lỗ hổng này có thể được kết hợp với các lỗi khác để thực thi mã tùy ý (Arbitrary Code Execution).
Loại lỗ hổng này đặc biệt nguy hiểm trong các môi trường mà công cụ UnRAR hoặc RAR được tích hợp làm công cụ backend. Ví dụ như các máy chủ email, hệ thống sao lưu hoặc các quy trình xử lý tệp tự động. Trong các trường hợp này, các hoạt động phục hồi tự động có thể được kích hoạt mà người dùng không hề hay biết, tạo điều kiện cho các cuộc tấn công mạng âm thầm diễn ra.
Dựa trên lịch sử các vụ khai thác lỗ hổng WinRAR trong các chiến dịch tài chính trước đây, việc giữ cho các tiện ích xử lý kho lưu trữ được cập nhật bản vá là một yêu cầu bảo mật quan trọng trong môi trường doanh nghiệp.
Thông tin kỹ thuật
- CVE ID: CVE-2026-14191
- Loại lỗ hổng: Heap Overflow
- Thành phần bị ảnh hưởng: WinRAR, command-line RAR, UnRAR (tích hợp trong các quy trình xử lý thể tích phục hồi)
- Nghiên cứu viên: Arjun Basnet từ Securin Labs
Các Cải tiến Bảo mật Khác trong WinRAR 7.23
Tăng cường xử lý Symbolic Link
Ngoài lỗ hổng tràn bộ nhớ heap, phiên bản WinRAR 7.23 còn cải thiện đáng kể việc xử lý các symbolic link (symlink) trỏ ra ngoài thư mục đích. Trước đây, một kho lưu trữ được chế tạo đặc biệt có thể tạo ra các symlink dẫn đến các đường dẫn bên ngoài, ngay cả khi tùy chọn -ola không được kích hoạt.
Logic trích xuất đã được cập nhật để ngăn chặn việc đặt tệp thông qua các symlink này trên nhiều hoạt động trích xuất. Điều này giúp ngăn chặn hiệu quả một lớp các kịch bản tấn công chiếm quyền điều khiển thông qua đường dẫn (path traversal) trong các quy trình trích xuất sử dụng WinRAR, RAR và UnRAR.
Cập nhật Thư viện 7zxa.dll
Theo thông báo từ RARLAB, WinRAR 7.23 đã cập nhật thư viện 7zxa.dll tích hợp lên phiên bản 26.02. Bản cập nhật này bao gồm các sửa lỗi và bản vá bảo mật từ 7-Zip, nhằm cải thiện khả năng xử lý an toàn các kho lưu trữ định dạng 7z. Việc cập nhật thư viện này giúp giảm thiểu các rủi ro bảo mật liên quan đến việc xử lý các định dạng nén phổ biến khác.
Bạn có thể tham khảo thông tin chi tiết về các bản cập nhật của WinRAR tại trang chính thức: RARLAB Changelog.
Khuyến nghị
Người dùng và quản trị viên hệ thống nên cập nhật bản vá WinRAR, RAR và UnRAR lên phiên bản 7.23 hoặc mới hơn. Đặc biệt khuyến cáo áp dụng trên các hệ thống thường xuyên xử lý các kho lưu trữ hoặc thể tích phục hồi không đáng tin cậy từ internet, email hoặc bộ nhớ chia sẻ.
Các tổ chức tích hợp UnRAR hoặc RAR vào các quy trình xử lý phía máy chủ (server-side) cần xác minh rằng các tệp tin nhị phân được sử dụng đã được nâng cấp. Đồng thời, nên xem xét việc giám sát các thể tích phục hồi RAR5 đáng ngờ hoặc không mong muốn trong nhật ký hệ thống (logs) và bộ lọc nội dung như một biện pháp phòng ngừa bổ sung, nhằm tăng cường an toàn thông tin.
