unrar 实用程序中已发现一个漏洞 (CVE-2022-30333)，该漏洞允许在解压专门设计的存档时，在用户权限允许的范围内覆盖当前目录之外的文件。 该问题已在 RAR 6.12 和 unrar 6.1.7 版本中得到修复。 该漏洞出现在Linux、FreeBSD和macOS版本中，但不影响Android和Windows版本。
该问题是由于未正确检查存档中指定的文件路径中的“/..”序列而导致的，这使得解包超出了基本目录的边界。 例如，通过将“../.ssh/authorized_keys”放入存档中，攻击者可以在解包时尝试覆盖用户的文件“~/.ssh/authorized_keys”。
来源： opennet.ru