WinRAR soluciona un problema de seguridad que durante 19 años permitió la instalación de malware

Benzo escribió:Los clientes de WinRAR deben actualizar rápidamente el programa o echar un vistazo a alternativas gratuitas y de código abierto como 7-Zip.

Fuente: The Verge

Tampoco hay que ser tan alarmantes

Lo mejor es que a partir de ahora se tenga cuidado con lo que se descomprime, si se usa winrar. Evidentemente, mejor usar 7zip

Entonces ya es el momento de comprarlo

McDohl escribió:Entonces ya es el momento de comprarlo

Estuve muy cerca de hacer mención a sus periodos de prueba extremadamente largos. Creo que la mayoría lo usábamos así

Nunca es tarde para estas cosas. Pero desde que en mi curro instalaron 7zip, me he pasado a ellos.

Chistes sobre pagar la licencia de WinRar en 3...2....1

Sobre el fallo, si no lo he entendido mal, requería que el archivo malicioso estuviese en formato .ACE con lo que otra forma de protegerse sería evitar dicho formato, aunque está en desuso desde hace tiempo.

En cualquier caso supongo que lo mejor es actualizar, y sin soporte para .ACE se aplica lo de "muerto el perro..."

¿Quién usa Winrar todavía?

Hace años que no lo utilizo, más después de pagar para que no me diga lo del periodo de prueba y siguiese saliendo.

Nunca es tarde

aka_psp escribió:¿Quién usa Winrar todavía?

Habiendo alternativas tanto Gratuitas Izarc como libres 7zip y Peazip y formatos de compresión que conpriman igual o más .zip .xz .7z pues poca falta aprte que cada vez veo menos a la gente comprimir, creo que de mis conocidos soy el único que archiva muchos archivos y tal comprimiendo ya sea en zip o 7z

aka_psp escribió:¿Quién usa Winrar todavía?

WinRAR ofrece mejor compresión que 7z en archivos de texto y multimedia, mientras que 7z ofrece mejor compresión en otro tipo de archivos. Aún así el margen de ambos programas sobre el otro es muy poco, LZMA2 vs RAR5.

Es una alternativa perfectamente usable, se actualiza mucho más a menudo que 7z (evidentemente, lo programa una empresa, mientras que 7z lo programa Igor Pavlov en sus ratos libres) y tiene muchísimas más opciones, tanto a nivel de linea de comandos como no digamos ya en el interfaz.

Suena muy cool el tema de decir que se usa 7z, software libre y demás, y en otros casos puede ser así, pero en este ambos son opciones perfectamente válidas.

7z tendrá 20.000 millones de agujeros de seguridad, pero encima que es un programa cojonudo, libre y programado por una única persona, nadie se lo va a echar en cara. Además la pregunta sería ¿Quién usa Sourceforge hoy en día para reportar nada?

Winrar forever.

Muy curiosa la noticia, casi no han tardado en encontrar el problema.

Salu2!

entonces ya es hora de pagarlo

Con esta rapidez , estamos muy seguros. No solo con este,ni tampoco con el CCleaner,ni con el... danger everywhere.

Pues yo trate de usar 7zip y todo bien para los archivos zip y 7zip pero cuando me tocaba descomprimir un rar a veces me fallaba y con winrar descomprimiendo el mismo archivo no fallaba.

Benzo escribió:

McDohl escribió:Entonces ya es el momento de comprarlo

Estuve muy cerca de hacer mención a sus periodos de prueba extremadamente largos. Creo que la mayoría lo usábamos así

Winrar es gratuito para uso personal, el periodo de 40 días es para empresas. Eso lo pone el FAQ de la web en Español la cual te dice que puedes seguir usando el programa incluso después de finalizar el periodo de prueba (lo que lo hace gratuito y por tanto LEGAL a ojos de la empresa) sin embargo, esta información no lo pone en las otras webs de Winrar como la oficial en Ingles o en otros idiomas. Lo malo es que mucha gente no entiende eso y dan por seguro que es un BUG o ERROR. De serlo no llevaría allí tantos años y tampoco creo que confien en la bondad de la gente de pagar la licencia.



Si algo he aprendido es que Winrar no es el mejor formato a usar, 7zip es gratuito y comprime mucho más y mejor (en rendimiento) y es compatible con todos los sistemas operativos y sino siempre tienes el zip que eso está integrado en todos los sistemas operativos por defecto.

@gelon Yo pienso que el formato RAR acabara desapareciendo de cara al futuro. Cambie a 7zip por su velocidad, mejor compresión de archivos. Winrar no comprime mejor archivos de texto y multimedia, de hecho en su momento probé Winrar 4 y Winrar 5 vs 7zip y 7zip gano, a veces la diferencia era bestial y a veces era mínima pero siempre mejor 7zip, más compresión, menos o más tiempo (depende), ahora no negare que chupa más RAM el 7zip.

7zip agujeros la verdad que nunca he visto una noticia sobre agujeros de 7zip, aunque imagino que al ser software libre los "hackers" no irán por dicho programa porque supondrán que no lo usan en una empresa. (comentario estúpido xD)

SorceForge aun se sigue usando y bastante, muchos usan control de versiones (git) pero mientras funcione y sirva para notificar errores y demás ya vale.

Molaría que volviera el KGB Archiver, solo una vez logre ese programa y lo puse a prueba y si, 8GB de archivos en tan solo 20MB, eso si, tardo casi dos días y luego para descomprimir eso otros dos tirando a tres. Lo quite porque era mucho tiempo al ser un programa obsoleto y fuera de servicio (nadie usa) y difícil de encontrar la descarga.

De todas formas es bueno conocer estos errores, bugs y agujeros ya que así otras empresas se enteran y evitan cometerlo.

Pues casi los años que no lo uso.

Si se elimina la dll se soluciona el problema? esa extension la usaba muy poca gente xD

19 años !! Q vuelva el ARJ ! ARJ X -VA origen destino

Pufff la de trollans que corrian por el Winrar, es una de las razones por la que deje de usarlo hace mucho tiempo, total el 7zip entre otros que son gratuitos hacen lo mismo porque pagar o porque hay que seguir usando este "Trollanrar" ?

David_dkai escribió:19 años !! Q vuelva el ARJ ! ARJ X -VA origen destino

Jajaja lo mismo venía a decir! Cuando las pantallas eran negras y sólo teníamos la linea de comandos... Nos hacemos viejos

gelon escribió:7z tendrá 20.000 millones de agujeros de seguridad, pero encima que es un programa cojonudo, libre y programado por una única persona, nadie se lo va a echar en cara. Además la pregunta sería ¿Quién usa Sourceforge hoy en día para reportar nada?

Pues ya sabes

La Unión Europea premiará con hasta 90.000 euros la caza de bugs en 7zip, Drupal, KeePass y más

Soluciona el problema... Y lo que hacen es eliminar el DLL con su funcionalidad xDD En fin, yo llevo años utilizando 7zip así que por suerte, aunque creo que no he visto un archivo ace en mi vida.

Pues yo si que lo uso, todo lo que descargas de internet, sobre todo software viejo están comprimidos, hay otros programas para eso, pero pues ya me acostumbré, y su "periodo de prueba" siempre me dura casi lo mismo o más que el windows.
Lo del malware yo no le echo la culpa al programita, si sabemos lo que descargamos y de donde... sin contar los que llegamos a entrar de vez en cuando a páginas guarretas.

mmiiqquueell escribió:Si algo he aprendido es que Winrar no es el mejor formato a usar, 7zip es gratuito y comprime mucho más y mejor (en rendimiento) y es compatible con todos los sistemas operativos y sino siempre tienes el zip que eso está integrado en todos los sistemas operativos por defecto.

@gelon Yo pienso que el formato RAR acabara desapareciendo de cara al futuro. Cambie a 7zip por su velocidad, mejor compresión de archivos. Winrar no comprime mejor archivos de texto y multimedia, de hecho en su momento probé Winrar 4 y Winrar 5 vs 7zip y 7zip gano, a veces la diferencia era bestial y a veces era mínima pero siempre mejor 7zip, más compresión, menos o más tiempo (depende), ahora no negare que chupa más RAM el 7zip.
SorceForge aun se sigue usando y bastante, muchos usan control de versiones (git) pero mientras funcione y sirva para notificar errores y demás ya vale.

De todas formas es bueno conocer estos errores, bugs y agujeros ya que así otras empresas se enteran y evitan cometerlo.

7z añadió soporte para RAR5 a partir de la versión 9.20, así como muchos otros programas, PeaZIP y similares. Con lo que no sé qué problema va a haber en distribuir ficheros en RAR mientras otros programas le den soporte. Y teniendo en cuenta que a RarLabs le interesa que le den soporte a Winrar, seguirá siendo así.

WinRAR tiene mejor compresión de vídeo, te lo aseguro. Comprimo MUCHOS DVDs (MPEG2) y WinRAR gana siempre. No por mucho margen, ya digo que en cualquier tipo de archivo donde uno comprime mejor que otro la diferencia es escasa. También comprimo muchos sets y ahí 7z es marginalmente mejor.

Sourceforge es lo más obsoleto que hay hoy en día para publicar proyectos y su comunidad se reduce año tras año, tanto de desarroladores como gente que aporte ideas, mejoras o errores. Además ya digo que Igor Pavlov publica versiones cada vez que saca tiempo, y raramente atiende a peticiones de la comunidad en cuanto a añadidos. Lo de guardar las contraseñas si no se lo han pedido 3256435234123123 veces no se lo han pedido ninguna. Que precisamente quizá tenga que ver con la mencionada seguridad.

@darkrocket Lo de los 90.000€ me parece muy bien. Con VLC probablemente podrías vivir de ello ya que con la cantidad de librerías third-party que tiene, de su padre y de su madre, bugs habrá y no pocos. De todas formas la Unión Europea no es gilipollas (quiero creerlo), supongo que dará ese premio, como máximo, por bugs graves que afecten a la seguridad. Imagino que si encuentras un memory leak en libvorbis te darán las gracias y un abrazo.

francescfri escribió:

David_dkai escribió:19 años !! Q vuelva el ARJ ! ARJ X -VA origen destino

Jajaja lo mismo venía a decir! Cuando las pantallas eran negras y sólo teníamos la linea de comandos... Nos hacemos viejos

¿Nos ponemos nostálgicos?.

aka_psp escribió:¿Quién usa Winrar todavía?

Yo. Y conozco gente que usa....Winamp!

Da igual, eso afecta a usuarios q no les afecta el tema. Si en tu sistema cualquier aplicacion puede escribir en directorios fuera de los indicados, es q tienes una seguridad desastrosa... q mas da uno o mas bugs

mmiiqquueell escribió:Molaría que volviera el KGB Archiver, solo una vez logre ese programa y lo puse a prueba y si, 8GB de archivos en tan solo 20MB, eso si, tardo casi dos días y luego para descomprimir eso otros dos tirando a tres. Lo quite porque era mucho tiempo al ser un programa obsoleto y fuera de servicio (nadie usa) y difícil de encontrar la descarga.

Según veo este es su sucesor o sucesor espiritual al usar el mismo algoritmo PAQ o uno derivado, parece que está basado en redes neuronales, según veo tiene soporte para sse,sse2 y avx. Con las gpus/cpus de hoy en día no creo que tarden tanto como antes. Aunque lo suyo es que tuviera soporte para GPUcomputing:

https://github.com/moisesmcardona/PAQCompress

En este foro mucha más información de estos algoritmos e implementaciones:
https://encode.ru/forums/2-Data-Compression

O he leído mal la noticia o no entiendo los comentarios: la vulnerabilidad ha estado presente durante 19 años, pero se ha descubierto ahora. Si no se sabía que dicha vulnerabilidad, obvio que no la hubieran subsanado. No sé a qué criticáis la actuación de Winrar: se les ha informado de dicha vulnerabilidad y la han resuelto. Ya podrían aprender otras empresas, que tratan de ocultarlo o "pasan" del tema.

Pues yo soy de los que, habiendo probado 7z, me sigo quedando con Winrar. Y tengo un conocimiento medio-alto de ordenadores. Casi nadie que conozca sabe qué es eso del 7z. Así que sí, Winrar se sigue utilizando, y seguro que muchísimo más que ninguna otra alternativa.

mmiiqquueell escribió:

Benzo escribió:

McDohl escribió:Entonces ya es el momento de comprarlo

Si algo he aprendido es que Winrar no es el mejor formato a usar, 7zip es gratuito y comprime mucho más y mejor (en rendimiento) y es compatible con todos los sistemas operativos y sino siempre tienes el zip que eso está integrado en todos los sistemas operativos por defecto.

@gelon Yo pienso que el formato RAR acabara desapareciendo de cara al futuro. Cambie a 7zip por su velocidad, mejor compresión de archivos. Winrar no comprime mejor archivos de texto y multimedia, de hecho en su momento probé Winrar 4 y Winrar 5 vs 7zip y 7zip gano, a veces la diferencia era bestial y a veces era mínima pero siempre mejor 7zip, más compresión, menos o más tiempo (depende), ahora no negare que chupa más RAM el 7zip.
.

7zip si comprime más pero a costa de más tiempo, y además no es multihilo.
En mi caso winrar le da 15 vueltas al 7zip, y llevo muchos años usando ambos (legalmente).

A buenas horas mangas verdes, esto lo hacen cuando ya todo el mundo usa 7zip.

Que gente mas cool los que usan 7zip. Totalmente antisistema, nacidos para ser rebeldes.

Internet le está dando más importancia a este bug que la que tiene.

Este bug existía desde hace 19 años... ¿y qué? Te garantizo que el navegador que usas está lleno de agujeros de seguridad antiguos aun por descubrir. Y tu sistema operativo.

Y el formato ACE no lo usa ni dios desde hace años, por eso rarlab prefiere eliminar la biblioteca abre-ACEs sin sustituirla por una propia.

dkernel escribió:

mmiiqquueell escribió:

Benzo escribió:
Si algo he aprendido es que Winrar no es el mejor formato a usar, 7zip es gratuito y comprime mucho más y mejor (en rendimiento) y es compatible con todos los sistemas operativos y sino siempre tienes el zip que eso está integrado en todos los sistemas operativos por defecto.

@gelon Yo pienso que el formato RAR acabara desapareciendo de cara al futuro. Cambie a 7zip por su velocidad, mejor compresión de archivos. Winrar no comprime mejor archivos de texto y multimedia, de hecho en su momento probé Winrar 4 y Winrar 5 vs 7zip y 7zip gano, a veces la diferencia era bestial y a veces era mínima pero siempre mejor 7zip, más compresión, menos o más tiempo (depende), ahora no negare que chupa más RAM el 7zip.
.

7zip si comprime más pero a costa de más tiempo, y además no es multihilo.
En mi caso winrar le da 15 vueltas al 7zip, y llevo muchos años usando ambos (legalmente).

7-zip sí es multihilo... Al menos el desarrollador presume de ello como uno de los puntos fuertes de LMZA2.

Creo que el nº de hilos está limitado a nº de nucleos logicos de tu CPU, en mi caso 4.

Sangreyfuego escribió:Que gente mas cool los que usan 7zip. Totalmente antisistema, nacidos para ser rebeldes.

Yo uso .arj

Sangreyfuego escribió:Que gente mas cool los que usan 7zip. Totalmente antisistema, nacidos para ser rebeldes.

O no-borregos que comen la primera mierda que les dan, al menos

@JanKusanagi

Es lo que digo, vosotros os salis de la masa aborregada.

Así comienzan las revoluciones.

Ace... ace... ace...

Si habéis leído comics en el ordenador, sabréis que son imagenes en un archivo comprimido con otro nombre.

Por ejemplo, llenan un ZIP con imagenes y lo renombran como CBZ, que se abre automaticamente con un lector de comics.

RAR --> CBR
7ZIP--> CB7

...y resulta que también hay un formato de comic llamado CBA, basado en ACE, y muchos lectores de comics lo soportan. Acabo de mirar en la carpeta de Gonvisor (el que uso) y tiene la dichosa biblioteca UNACEV2.DLL

Más vale que le de un toque al autor...

gelon escribió:WinRAR ofrece mejor compresión que 7z en archivos de texto y multimedia, mientras que 7z ofrece mejor compresión en otro tipo de archivos. Aún así el margen de ambos programas sobre el otro es muy poco, LZMA2 vs RAR5.

Es una alternativa perfectamente usable, se actualiza mucho más a menudo que 7z (evidentemente, lo programa una empresa, mientras que 7z lo programa Igor Pavlov en sus ratos libres) y tiene muchísimas más opciones, tanto a nivel de linea de comandos como no digamos ya en el interfaz.

Suena muy cool el tema de decir que se usa 7z, software libre y demás, y en otros casos puede ser así, pero en este ambos son opciones perfectamente válidas.

7z tendrá 20.000 millones de agujeros de seguridad, pero encima que es un programa cojonudo, libre y programado por una única persona, nadie se lo va a echar en cara. Además la pregunta sería ¿Quién usa Sourceforge hoy en día para reportar nada?

7zip también extrae en rar, ademas es de código abierto y cualquiera puede solucionarlo por todo el mundo, también 7z esta financiando por la Unión europea y la UE da una recompensa a quien detecte agujeros en 7z, vlc, notepad++ o filezilla, y las recompensas son de 90.000 euros. Un compañero y yo misma encontramos un fallo en el código de notepad++ ( aunque por aquel entonces todavía no había recompensa ) y se solucciono rapidisimo, nada que ver con programas similares de pago

19 años..........han superado el record de microsoft

https://computerhoy.com/noticias/tecnol ... ros-351951

Ah, es que 7zip abre archivos ACE?

oscx7 escribió:7zip también extrae en rar, ademas es de código abierto y cualquiera puede solucionarlo por todo el mundo, también 7z esta financiando por la Unión europea y la UE da una recompensa a quien detecte agujeros en 7z, vlc, notepad++ o filezilla, y las recompensas son de 90.000 euros. Un compañero y yo misma encontramos un fallo en el código de notepad++ ( aunque por aquel entonces todavía no había recompensa [mamaaaaa] ) y se solucciono rapidisimo, nada que ver con programas similares de pago [rtfm] [rtfm] [rtfm] [rtfm]

19 años..........han superado el record de microsoft [plas] [plas] [plas]

https://computerhoy.com/noticias/tecnol ... ros-351951

Ya he mencionado antes que soporta RAR5. Aún así cabe mencionar que el soporte no es perfecto, el clásico error de "There are some data after the end of the payload data" está ahí desde ni se sabe la versión, y ha pasado por todos los formatos, ZIP, TAR, RAR, etc. Sigue existiendo en la 18.06 y no sé yo si algún día se corregirá.

Según Igor es algún tema del header de los archivos en determinados programas, pero vamos, a mi me suele pasar de forma aleatoria con compresiones de la misma versión de WinRAR. Al final acabo usando WinRAR para extraer y WinRAR o 7z para comprimir, según tipo de archivo.

Por supuesto no quiero desprestigiar a 7z ni mucho menos. Es una herramienta perfecta y una de las no tantas ocasiones donde la alternativa gratuita está a la par (o supera, según opiniones) a la de pago. Pero lo de criticar a WinRAR por norma general, porque es muy alternativo, muy a mi no me dominan las grandes empresas, no tiene mucho sentido. WinRAR tuvo una época de estancamiento pero ahora es una herramienta muy competente y, repito, para mi superior a 7z en muchos aspectos.

Después de medio leer la parrafada, no está muy claro si el exploit es SÓLO con la extracción automática o con apertura y extracción.

En principio sólo con la primera, porque lo que dice que hace Winrar es leer la cabecera, cargar la DLL cuando descubre que es un ACE y ejecutar la cabecera modificada del .ace en el proceso de extracción automática, donde debe averiguar la ruta del archivo, lo que lleva a una doble extracción.

Como no lo ponen como workaround, no se sabe si la apertura y la posterior extracción también lo provoca. En principio, no, porque así ya sabe la ruta del archivo y la ruta de extracción se la das tú después.

Llámame loco, pero es de lógica inspeccionar el contenido de un archivo .rar comprimido desconocido antes de extraerlo. Vaya, no sé...

Yo pasé del winzip al winrar y de este al 7zip pero no por considerar a uno mejor o peor o libre o comercial... de hecho nunca me paré a comparar compresiones, es más hace muchos años que no comprimo nada de nada, solo descomprimo. Si cambié de uno a otro fue por casualidad, de probar a instalar uno y olvidarme del otro, el 7zip creo que fue para no buscar en una ocasión el crack del winrar para que no me saliese lo de la versión de prueba y como me daba igual uno que otro pues me olvidé del anterior.

Lo del arj sí que prefiero olvidarlo, no quiero recordar las decompresiones de los tropecientos archivos de cada juego de los CD mix

Yo era de los que usaba un programa para cada formato.
WinZip
WinRAR
y
WinACE

Y si, este formato (ACE) tenía su público, al menos que yo sepa, entre las descargas piratillas jejejeje
Pero poco a poco fue desapareciendo en favor de los archivos RAR y sus diccionarios...¡ohhh benditos diccionarios!

Ahora solo uso 7Zip y WinRAR.
De normal me resulta más cómodo utilizar WinRAR, pero debo reconocer que no podría pasar sin 7Zip (me ha salvado en más de una ocasión).

Ahh bueno si ya lo han arreglado me quedo más tranquilo alguien sabe dónde lo puedo alquilar?

Bueno, como dicen nunca es tarde

Lo que mas me preocupa de esta noticia, realmente es que ellos no han sido los que han encontrado el fallo, siempre es gente que, SE DEDICA A ESO, a buscar vulnerabilidades.
Si han encontrado esa y lo han comentado.... ¿cual no habrán dicho? Realmente es lo que me preocupa, que sabrán hacer y donde sabrán meterse que ni siquiera imaginamos¡¡¡

Da que pensar, vamos no se cuanto ganarán pero es para contratarlos, desde luego¡¡¡¡

@gelon MPG2, hace años que no veo ese formato, aun hay gente usando eso? Yo comprimo archivos de texto e imagenes generalmente, los vídeos siempre en MP4 H264 o MKV que son los que mantienen más calidad y bajo peso (otra cosa es el H265 que no me interesa porque pierde bastante calidad a pesar de perder mucho peso respecto al H265). Comprimir un video es absurdo ya que no reducirá mucho su peso así que mejor reconvertir y reducir bitrate.


@wah_wah_69 Gracias por la información, no sabia de ello, habrá que probarlo.

@dkernel 7Zip es multi-hilo y está activo por defecto, puedes desactivarlo en la configuración y entre usar y no usar el tiempo es considerablemente notable, eso si, cuando usa multi-hilo 7zip primero lista los archivos, luego comprime y luego verifica que el archivo es correcto, sin multi-hilo directamente comprime sin verificar cantidad de archivos ni si el archivo resultante es correcto para reducir el tiempo al máximo. Actualmente tengo una carpeta de cerca de 500MB en lo que trabajo, usando multi-hilo (6 cores de procesador) tarda unos 2:20 ~ 2:50 minutos reduciendo a solo 60MB. En caso de no usar multi-hilo tarda cerca de 4 ~ 5 minutos (un 75 - 120% más de tiempo). Consume más RAM, eso si, aunque depende del tamaño de diccionario y tamaño del bloque, Winrar no dista mucho de esos tiempos y compresión y el uso de RAM si, es menor. Igualmente no creo que dure mucho, es una empresa si y gana mucho dinero, pero es un formato que cada vez veo menos, antes iba donde iba siempre veía RAR por todas partes, ahora ver un RAR es muy raro y eso que soy informático y he estado en muchas empresas, las últimas ya eran zip o 7zip y la que estoy ahora es todo zip o 7z.

@Odioregistrarme El numero de hilos depende del procesador, pero ya puse la diferencia entre usar y no usar. Si tienes hyperthread como mi caso en la empresa entre usar 6 físicos o usar 6 físicos + 1 a 6 lógicos no hay diferencia de tiempo.

Pobres los que hayan pagado la licencia para que salga ahora un bug de hace 19 años