查看完整版本: 官方坦承没必要：WinRAR不会迎来“一个无用的漏洞修复补丁”[1P]

官方坦承没必要：WinRAR不会迎来“一个无用的漏洞修复补丁”[1P]

[size=4]通常情况下，当一家安全机构在某个程序或应用中发现了漏洞，开发者应该会在获知数日甚至数小时后发布相应的补丁。但是对于刚刚曝出远程代码执行漏洞的WinRAR 5.21、并且被Vulnerability Lab和Malwarebytes知会过的RARLab来说，其危险指数却达到了9.2/10分。两家公司表示，受害者可以在解压文件时被轻易感染。考虑到人们每天都会下载很多压缩过的文件，已经有超过5亿用户处在危险之中。[/size]

[color=#000][align=center][img]http://static.cnbetacdn.com/article/2015/0930/1b84c6ad4df8552.jpg[/img][/align]
[size=4]安全研究人员Mohammad Reza Espargham对此进行了概念验证（PoC），重现攻击需要手动步骤：“代码执行漏洞可被远程攻击者利用，而无需特殊权限下的系统用户账户或用户交互”。[/size]
[size=4]不过RARLab却将之描述成“毫无用处”：[/size]
[indent][size=4]恶意的黑客可将任何预先考虑存档的可执行文件分发给用户，但讨论自解压格式（SFX）文档中的这个漏洞是毫无意义的。[/size]
[size=4]在SFX模块中寻找或修复无用的漏洞也无甚用处，因为从用户计算机的设计上来说，任何exe格式的SFX文档都有潜在危险。[/size]
[size=4]对于用户来说，在运行任何必须的SFX文档前，都请务必确认其来自某个可信任的来源。[/size]
[size=4]SFX文档可静默运行包含其中的exe文件，这对软件安装程序来说是个必备的官方功能。
[/size]
[/indent][size=4]简而言之，RARLab的意思是任何程序都可以被创建和压缩，然后在解压时自动安装：[/size]
[indent][size=4]当然，限制SFX模块中的HTML功能会对合法用户带来伤害，且恶意自解压文件的创作者仍可利用旧版SFX模块、来自非UnRAR源代码的自定义模块、或者自建代码存档。[/size]
[size=4]我们只能再次提醒用户，无论是否SFX文档，都应该确认其是否来自可信赖的来源。
[/size]
[/indent][size=4]如此看来，我们应该是不会看到任何“补丁”了。[/size]
[/color]

不是吧，winrar还有漏洞可以被利用？
现在电脑上有什么软件是可以放心使用的啊

系统的漏洞 是不可能被全部堵住的 ，漏洞无时无刻都会出现，这是一个拉锯的过程
每过一段时间就曝出漏洞  然后一帮人 赶紧着堵， 但是 堵漏洞的人 总是跟着挖洞的人后面，这就是 为什么 我们的系统总是被人攻击
有的比较惨 被抓去做肉鸡  呵呵呵
祝你们好运