セキュリティ企業のCheck Point Software Technologiesは2月20日、Windows向け圧縮・解凍ソフト「WinRAR」に19年前から存在していた脆弱性を見つけたと発表した。報告を受けてWinRARは2019年1月に公開した更新版でこの問題に対処している。
WinRARはRARやZIP形式のファイルの圧縮と解凍ができるソフトで、職場でもホームコンピュータでも広く利用されている。Check Pointによると、今回の脆弱性を悪用すれば被害者のコンピュータを完全に制御することも可能だったといい、5億人以上のユーザーが危険にさらされた状態だったとしている。
脆弱性は、WinRARでACE形式のアーカイブの解凍に使われていたサードパーティーライブラリの「UNACEV2.DLL」に存在していた。
Check Pointは、この問題を突く不正なアーカイブを作成してWinRARで解凍させることにより、指定されたフォルダとは違うフォルダにファイルを保存させるパストラバーサル攻撃を実証。コンピュータの起動時にファイルが実行されるスタートアップフォルダ内に、マルウェアを作成することに成功したとしている。
WinRARでは報告を受け、「バージョン5.70 β1」でこの問題に対処したことを明らかにした。問題が指摘された「UNACEV2.DLL」はACE形式のアーカイブの解凍に使っていたもので、2005年以来、更新されていなかったことが判明。ソースコードにもアクセスできなかったことから、ACEアーカイブフォーマットのサポートは打ち切ることにしたと説明している。
2019年02月21日 08時30分 ITmedia
https://www.itmedia.co.jp/enterprise/articles/1902/21/news072.html winrarって有料でしょ？
そんなに使われてる？
他の解凍ソフトでも
「UNACEV2.DLL」が入ってたら不味いわけか
aceなんて使ってる奴見たことないぞ
lzhと同じオワコンだろ
windowsってフォルダを圧縮モードで使えるんだよね？
やった事ないけど。
やっぱ結構遅くなるの？
RARなんてダイヤルアップ接続時代に安心感得るために使うものだっただろ
ソースコードにもアクセスできなかった、、、、、、、ずさんな管理だぬ。
◯丸とこれはフリーソフトだと聞いてるけど、俺は7zip派
WinRARとかWinZipとか昔のソフトだな
今は7Zipだ
.ace？
ほぼ使われてないやろ
結局それが脆弱性につながったんか
俺が7zipに一番乗りだったのにお前ら調子に乗んなよ
こんなんよゆーよゆー
スマホのほうがもっとやべえ状態思うわ
ACEなんか見たことないな。ヨーロッパで主流とか昔見たけど誰か使っているのか
>>18
ＧＣＡ作者「脆弱性があるのでDGCA使ってください」 誰も課金してくれないのに脆弱性の報告があれば即座に対応する
聖人か？
dgcaはリカバリーレコードがあるのに流行らんかったな
ウチのMicrosoftアカウントがハッキングされたのはコレが原因かなあ
高速化と大容量化のおかげて最近はZIPしか使ってない
だいたい相対パス関係でゴニョゴニョすると良からぬ場所に勝手にファイルを解凍する不具合が見つかる
>>1
winRARの脆弱性じゃなくて「UNACEV2.DLL」の脆弱性だろ >>35
誰も課金していないのなら何のためにシェアウェアとして長年開発続けているんだよｗ >>40
お前がACE形式なんて使ってるわけないだろ
よく自分の行為を自覚しとけ割れ厨 かなーり前にＤＬしたフリーソフトが何故か.aceだったのをみたくらいだなぁ
メリットあったのかな？
Microsoftが運営するサイトMSNでマルウェアの広告が表示されるのもコレが原因かなあ
ACE形式のファイルを解凍するとまずいかもってこと？
通信量減らすだけの圧縮アプリ、
見られて何か問題が？
暗号アプリなら問題だけどw
どんな機密情報をやりとりしてるのか謎だ
Windows 10はMicrosoftアカウント必須みたいなもんなのにハッキングされるとかヤベェよなあ
標準で.zipが使えるのに、わざわざWinRARなんて使ってねーよ
7zipとかのメジャーどころでリカバリレコードとか、パリティに対応しないかなぁ
書庫ファイル内蔵じゃなく、別ファイル作成する方式でも良いからさぁ
Win95、98時代は良質な圧縮ソフトを色々試していたな
アタッシェケースだと400M圧縮約2分、解凍は約45秒、
8Gだと圧縮約30分〜約1時間、解凍約15〜約30分。
パスワード付きで安定している。
解凍場所に使ったフォルダが削除できなくなるバグが、
まだ残ってやがるｗ
再起動してから消すのが面倒くさい。
今の俺は、7ｚ一択だなｗ
>>62
USBメモリなんて無かったから分割ソフトも欠かせなかったな 相手先は解凍ソフト持ってない持ってるで面倒臭かった
自動解凍ソフトは便利だった
>>42
ExplzhはACE32.exeに丸投げだね 40日間無料です！
↓
40日後…
気に入った？購入してね！
でも購入しなくても解凍は使えるよ！
↓
気に入った？購入してね！
でも購入しなくても解凍は使えるよ！
↓
以下ループ
昔はjpgや別拡張子で偽造してるうｐしてるサイトとかもあったな
>>68
という事は大丈夫か
わざわざ見てくれたのかな？ありがとう DGCAはファイルならなんでもｒｒ付けれた
zipファイルに後からｒｒ付けてそのままzipで解凍できたから
こういう裏技知ってんの俺だけかな？
うちのエロ動画にdgcr.mpgっての残ってるわ
7zipって解凍上限あったっけ？
winRARは解凍無制限だけど
Lhasaは4Gまでしか対応してないしなぁ
よく分からん拡張のファイルが出た時どのソフトで解凍すればいいのか探すだけでも楽しかった時代
圧縮解凍ソフトってめっきり使わなくなったな、よく使ってたあの頃が懐かしい。
圧縮解凍と言う言葉にギアッチョがキレているのが浮かんだ。
まだ現役のソフトなんだな
昔はYahooブリーフケースにアップしたりでzipかrarで上がってたっけな
32bit時代は最強だったが
さすがにもう使ってないだろ
>>6
試用期限は設けられてはいるが
過ぎても使用できるガバ仕様 ACE形式のファイルとか遭遇したことないが、とりあえず関連付け外しておいたわ
昔の有名ソフトウェアはオープンソースも少ないが、だったらソースコードぐらい誰か管理しとけよな
>>18
リカバリレコードがなく破損ファイルだらけになるから、
WinMX時代終盤には既にrarに取って代わられてたでしょ >>89
ソリッド圧縮のメリット・デメリットがそのまま当てはまる むかーし使ったなー
エロ画像をフロッピーディスクに入れるのにさ
すぐに読み出し出来なくなってアタマ真っ白になった思い出
つかもう圧縮なんてするなよ
たいして容量減るわけでもないし
減らす必要もない
手間かかるだけだ
統合アーカイバプロジェクトの中ではUnAceV2J.dll（解凍のみ）ってのがあるけど、実際の解凍はやはりunacev2.dllを使ってるんだな
いままで使うことなかったんで、インストールはしてなかったが
ああ、フォルダ検索かけたら
lhaplusのフォルダにあったわ。unacev2.dll
>>103
jpg画像100枚だのflacファイル20個だのをそのままやり取りしたり管理するのは池沼だぞ 俺のパソコンに UNACEV2.DLL あるわ
ACEの解凍なんて、ここ10年以上やった記憶がないけど
俺、Lhaplusの中にもUNACEV2.DLLってのがるんだけど
これは大丈夫なの？
あと、XnViewって画像ビューワーの中にもある
どちみちワシは通常用とエロ用PCの二台で使い分けているからどうでもよろしい
UNACEV2.DLL
検索しても出てこなければ大丈夫だよね？
>>109
らぶまの後にでんこで、その後に◯◯で云々、、という強烈な謎解きもあったよな >>106
そいつはAPI置き換えて脆弱性塞いであるんだわ ACEなんてまず使わないから大抵の人は心配ないのでは？
俺、後ろに .oldとか付けて、とりあえず使えないようにしてみた
>>123
何かパスワードの変わりにキーファイルが必要って奴もあった気がする SHA1 : a5f66d420b6a6ebb04242fb85ca462a99dbf89b6 *UNACEV2.DLL
２つ も 有ったわ。
拡張子が.zipとかでも中身がaceだと駄目ならこわい
ということは、すでに配布終了した解凍ソフト、解凍機能を含んだソフトでも
問題あるソフトがあんじゃ
>>134
でその怪しいzipはどうやって手に入れるんだ？
普通の人は気にする必要はない >>138
Windows10 x64で動かなかったので捨てた スタートアップフォルダーにファイル作成とか目立ちそうなのに19年か…
完全に制御可能って
なりすまし犯罪でもあったのかな？
>>141
スタートアップフォルダ云々はハッキングの手法の一例であって別に必ずそうなる訳じゃない >>146
説明ありがとう
>>139
UNACEV2.DLLが入っていますね
自分で削除しといてもいいけどそのうちアンチウィルスソフトに隔離されるかな？ aceなんて、warezが流行ってた頃は良く見かけたけど、warez界隈以外ではほとんど見なかったな。
>>6
自分も使っている。このソフトが一番いい。
有料ソフトだが、なにかあざといことをかます必要もなく、無料で使用できる。 CompanyName : ACE Compression Software
FileDescription : UNACE Dynamic Link Library
FileVersion : 2.6.0.0
InternalName : UnAceV2.Dll
LegalCopyright : ACE Compression Software, 2000-2005
LegalTrademarks : ACE Compression Software, 2000-2005
OriginalFilename: UnAceV2.Dll
ProductName : UNACE - freeware ACE extraction component
ProductVersion : 2.6.0.0
www, Email : www.winace.com [email protected]
Creation Date : 2014/04/09 03:30:43
Last Modif. Date: 2005/08/26 02:50:00
Last Access Date: 2014/04/10 01:51:36
FileSize : 77312 bytes ( 75.500 KB, 0.074 MB )
FileVersionInfoSize: 1972 bytes
File type : Dynamic Link Library (0x2)
Target OS : Win32 (0x4)
File/Product version: 2.6.0.0 / 2.6.0.0
SHA1: a5f66d420b6a6ebb04242fb85ca462a99dbf89b6 *UNACEV2.DLL WinZIP driver updaterっていう詐欺ソフトがあったな
>>149
英語版のページにあった、日本語化はまだされてない模様 既存の日本語版5.31インストール済みからunace32.dllを削除するだけじゃダメなんかな？
消しても問題なくwinrar起動してるように見えるけど
>>6
レジストしてなくても永久に使い続けれるんだけどな。 レジストしなくてもっていうけどみんなクラックしてるんでしょ？
放置され過ぎて防ぐ方にも破る方にも気付いてもらえなかったってこと？
ACEアーカイブというものの存在すら知らなかった。
そういやココ10年くらいwindowsの標準でついてくる奴とラプラス
くらいしか使ってないな
たまに７で解凍して文字化けすると７zip使うぐらいかな
WinRAR自体はパソコンに入れてるけど、ほとんど使ってない
7zip称賛してる奴は自分で圧縮する奴、今回の脆弱性は野良圧縮ファイルがrarで、ホイホイダウンロードして解凍する奴が引っかかる。
スレタイミスリードやろ
WinRAR にマルウェアが19年前から存在していたように読めるぞ
>>「WinRAR」に19年前から存在していた脆弱性を見つけたと発表した。
脆弱性も見つけられなければ安全だな（笑）
これWinRARだけが悪いみたいな記事タイトルだけど、
UNACEV2.DLLを扱える解凍ソフト全般が対象ではないの？
rarは違法ダウンロードしてる連中が使ってるイメージ
eMerge社の開発したファイル圧縮・解凍ツールである「WinAce」によって圧縮されたファイルに付く拡張子のことである。
Initial release July 22, 1999; 19 years ago
Stable release 2.69 / November 8, 2007; 11 years ago
公式もなくなってるようだし発表する意味すら微妙な話だなｗ
なんだ、aceなんていう超マイナー圧縮形式を使ったモノだけが対象になる話なんだ。
rarは無関係と。
知らんままでも無問題だ。
UNACEV2.DLLを削除しとけばいいんでしょ？
>>187
うん、最近では中華タブのファームとかだな。
ヘンなとこで使っているからまだこのソフトは捨てられんな。 昔は使ってたな
怪しいと広まって既に廃れたと思ってたけど
とりあえずACEをRAR側の関連付け外してからDLLも削除してみた
英語版の対処済みベータ版入れた
問題なく動作している
aceなんていう拡張子をこれまでの人生で見たことは皆無。
脆弱性なんて仮定の話で被害も皆無。
騒ぎになったあとで悪意を持ってバレたら犯罪になることをやるヤツもないな。
>>180
UNACEV2.DLLの問題で間違いないけどAPIをどう使っているかによるから
使っているソフトでも検証してみないと分からない ACEファイルを圧縮や解凍しないかぎり安全ってこと？
それともPC内にUNACEV2.DLLが置かれているだけで危険？
>>193
残念ながら拡張子をzipやrarに偽装したaceでも脆弱性の影響を受けるんだ >>195
めんどうだから最初からACEに対応していないアーカイバ使え RAR といえば、割れで使われてるところしか見たことがない
>>125
あ、そうなんだ、ありがと。
いまだ、WinFd.exe に必要なdllを統合アーカイバから探して使ってる奴っている？？ 速攻削除した
なくても問題なく動く模様
C:\Program Files\WinRAR\UNACEV2.DLL
.7z展開したら
なんで
.rarが出てくるわけ？ｗｗｗ
そのまま7zすりゃいいじゃん？ｗｗｗ
ロムサイトで
Gdriveつかってるのあるけど
何で落とすのにﾜｻﾞﾜｻﾞzip圧縮するのか＿？ｗ
PSPが1分で落ちてくるのに圧縮するのに数分かかってるｗ
Lhaplus入れてたからさっそく削除した
そもそも最近使ってないからなぁ
ExplzhもUNACEV2.DLL使うらしいから、これもやばいかもな。
ACEファイルなんて扱った記憶はないけど、変なものをメールに仕込まれてアウトってこともありうる。
>>205
7zは圧縮率が低いがLinuxでそのまま使える 拡張子をrarにした悪意のaceファイルが出てくるかもな
aceのdllは消しておけ
r00、r01、r02 …
ああ…、一つ足りない…
うらめしや〜
web割れの時代はgcaとかrarとかaceとか
何かいろいろあったな。でんこで偽装して
MEIT ITで復元してとか。みかんとか娘とか
愛銅鑼とか塩とか鳥とか舞宇宙とか
>>215
あの頃はそういう謎解き要素が楽しかったのかもな 昔は破損して解凍できなくなった圧縮ファイルとか、途中からエラーが出て灰色になった
jpgファイルとか一杯あったからな
対策されて今ではほとんど見ないけど
ヒューリスティックスキャンとはなんだったんだ・・・
エロサイトの ホットスポットも何とかしてくれ
ウイルスだらけだぞ・・やられてら３０万出せと言うし
あれじゃ素人はカモにされるだけだわ
7zipも良いけど
winrarは速度が速いから止められない
いいことなんだろうけどWinRARは厳格すぎるのがちょっとな
古いzip書庫とか破損判定結構あるけど他のアーカイバだと解凍出来たり
>>227
「Keep broken files」で解凍できるでしょ >>230
VB6で作られたアプリってWin10でも動くの？
ランタイム入れればいけるか >>214
あったあったｗ
そのうち偽装ソフト自体が分割するようになったけど。 >>234
意外と動くものはある。
例えばゲームのフリー版ネクタリスとか、インストーラーが使えないだけで
本体はwin95とかの時代の代物なのに動く。
ゲーム内容もシンプルだから今でも十分遊べる。 >>231
5.61ならまだわかるが5.31しか見つからないとは凄いな
ちなみに俺は普通に5,70β2を見つけられたぞ 便利だからずっと使ってる素晴らしいアプリ。
zip形式でなら問題ないんですよね？
7zipよりも断然いいと思う。
圧縮展開では最強のソフトがWinRARよな
1997年から使ってるけどこれが一番良い
2ギガオーバーのファイルを問題なく圧縮解凍出来て、
スピードも速いのはWinRARでいいの?
会社でWinZIP入れてるけど期限がもうすぐですってダイアログが出てきてウザい
ワレ専用の様なこれを今使うとかアナクロニズムに近いなぁ
rarをアングラと思ってる方が古い。今ではzipと並ぶ普通の圧縮形式
無料のアプロダは500MBまでの制限も多いから、分割だって今も使われてる
>>242
書き込んでる眼の前の端末で調べればいいのに >>246
アプロダとか使わんでもオンラインストレージでいいじゃん WinRARは有料への誘導もうざいし色々設定を勝手に変えるので削除した
>>4
Lhaplusもエラーになった上にファイル自動削除されてゴミ箱あさらなきゃだし
自動削除しない設定だとどれを回答したか分からなくなってあわあわするし
7zipは回答後そのまま削除ボタンがあって便利 LhaForgeの自動更新やったがLhaForgeのUnAceって対応されてんの？
問題となるのは他のアーカーバーの対応だよ
> ACE 書庫からの展開機能に関しては、フリーソフトとして UnAceV2.DLL が
> 提供されていますが、圧縮機能に関しては別DLLで有料となっており、私自
> 身レジストするほど ACE 書庫の魅力を感じないので、対応する予定はありません。
ACE圧縮が有料だが
誰かACEのテストファイルを提供すべきだね
テストファイルがあったらLhaForgeが対応してるか自分でテストできる
よくわからんのならUnAceV2Jのファイル名を変えて対応せざるをえない
俺これ大っきらい。ウィンラー。
そもそもラーっていう圧縮方式がクソうぜえしめんどくせえし。
変な広告がついてきてダセエし。
ラーで圧縮するやつなんなの？嫌がらせしてんの？って思うわ
rarの解凍は古いバージョンで使えなくなったりで
他の解凍ソフトが使えなくなったりしたからwinrarになっちゃうんだよね
WinRARはコアだけ残してexplzhで使うのがベスト
WinRAR自体は要らない
>>249
それじゃ金入らない ボランティアじゃないんだから https://forest.watch.impress.co.jp/docs/news/1170860.html
> 「UNACEV2.DLL」は2005年以降アップデートされておらず、ソースコードも公開されていない。
> そのため、「WinRAR」の開発元はACEファイルのサポートを断念。
> 今年1月にリリースされた「WinRAR 5.70 Beta 1」で当該ライブラリを「WinRAR」から削除している。
わからん
樽井 秀人が削除するしか方法がないようなことを書いてるが
LhaForgeのUnAceV2J.libはソースコードが付いてる
プログラムフォルダに入ってる
UnAceV2J.libに脆弱性があるのかないのか？
情報求む >>261
V2Jは本家のUnACEV2.dllを呼び出すラッパーだろう。
脆弱性はこいつが直接影響受ける。 
