V nástroji unrar byla zjištěna zranitelnost (CVE-2022-30333), která umožňuje při rozbalování speciálně upraveného archivu přepsat soubory mimo aktuální adresář, pokud to umožňují uživatelská oprávnění. Problém byl vyřešen ve verzích RAR 6.12 a unrar 6.1.7. Zranitelnost se projevuje ve verzích pro Linux, FreeBSD a macOS, ale netýká se sestavení pro Android a Windows.
Problém je způsoben nedostatečnou kontrolou posloupnosti "\/.." ve filech zadaných v archivu, což umožňuje při rozbalování překročit základní adresář. Například umístěním do archivu "..\/ .ssh\/authorized_keys" se útočník může pokusit přepsat soubor uživatele "~\/ .ssh\/authorized_keys" v okamžiku rozbalování.
Zdroj: opennet.ru
