Ve svobodném archivačním nástroji 7-Zip byla zjištěna zranitelnost (CVE-2022-29072), která umožňuje provést libovolné příkazy se systémovými oprávněními přes přesun speciálně vytvořeného souboru s příponou .7z do oblasti s nápovědou, která se zobrazuje při otevření nabídky „Help>Contents“. Problém se projevuje pouze na platformě Windows a je způsoben kombinací nesprávného nastavení knihovny 7z.dll a přetečením vyrovnávací paměti.
Zajímavé je, že po oznámení problému vývojáři 7-Zip nezapřeli zranitelnost a uvedli, že zdrojem zranitelnosti je proces Microsoft HTML Helper (hh.exe), který spouští kód při přesunu souboru. Výzkumník, který zranitelnost odhalil, se domnívá, že hh.exe se na využití zranitelnosti podílí pouze nepřímo, a uvedený příkaz ve vý exploitě se spouští v 7zFM.exe jako podproces. Příčinami možnosti provedení útoku prostřednictvím injekce příkazů (command injection) jsou považovány přetečení vyrovnávací paměti v procesu 7zFM.exe a nesprávné nastavení práv pro knihovnu 7z.dll.
Jako příklad byl demonstrován příklad souboru nápovědy, který spouští „cmd.exe“. Také bylo oznámeno, že byl připraven exploit, který umožňuje získat systémová oprávnění ve Windows, ale jeho kód plánují zveřejnit až po vydání aktualizace 7-Zip, která zranitelnost opraví. Dokud opravné prostředky nejsou publikovány, navrhuje se jako obraný postup omezit programu 7-Zip přístup pouze na možnost čtení a spouštění.
Zdroj: opennet.ru
