V bezplatném archivátoru 7-Zip (CVE-2022-29072) byla identifikována chyba zabezpečení, která umožňuje spouštění libovolných příkazů s oprávněními SYSTEM přesunutím speciálně navrženého souboru s příponou .7z do oblasti s nápovědou zobrazenou při otevření nápovědy. > Nabídka Obsah. Problém se vyskytuje pouze na platformě Windows a je způsoben kombinací nesprávné konfigurace knihovny 7z.dll a přetečení vyrovnávací paměti.
Je pozoruhodné, že po upozornění na problém vývojáři 7-Zip neuznali zranitelnost a uvedli, že zdrojem zranitelnosti je proces Microsoft HTML Helper (hh.exe), který spouští kód při přesunu souboru. . Výzkumník, který zranitelnost identifikoval, se domnívá, že hh.exe se na zneužití zranitelnosti podílí pouze nepřímo a příkaz uvedený v exploitu je spuštěn v 7zFM.exe jako podřízený proces. Důvody pro možnost provedení útoku pomocí substituce příkazů (injekce příkazů) se v procesu 7zFM.exe nazývají přetečení vyrovnávací paměti a nesprávné nastavení práv pro knihovnu 7z.dll.
Jako příklad je uveden příklad souboru nápovědy, který spouští "cmd.exe". Je také oznámeno, že se připravuje exploit, který umožňuje získat SYSTEM oprávnění ve Windows, ale plánují zveřejnit jeho kód po vydání aktualizace 7-Zip s odstraněnou zranitelností. Vzhledem k tomu, že opravy dosud nebyly publikovány, je navrženo jako bezpečnostní řešení omezit přístup k 7-zip pouze pro čtení a spouštění.
Zdroj: opennet.ru