I det gratis arkiveringsprogram 7-Zip er der påvist en sårbarhed (CVE-2022-29072), der muliggør udførelse af vilkårlige kommandoer med SYSTEM-rettigheder ved at flytte en specielt tilpasset fil med .7z-udvidelsen til området med en meddelelse, der vises ved åbning af 'Help>Contents'. Problemet opstår kun på Windows-platformen og skyldes en kombination af forkert konfiguration af 7z.dll-biblioteket og buffer overflow.
Bemærkelsesværdigt er det, at efter at være blevet informeret om problemet, afviste udviklerne af 7-Zip sårbarheden og erklærede, at kilden til sårbarheden er Microsoft HTML Helper-processen (hh.exe), som kører kode, når filen flyttes. Forskeren, der opdagede sårbarheden, mener, at hh.exe kun indirekte deltager i udnyttelsen af sårbarheden, og at kommandoen nævnt i eksploitatet køres i 7zFM.exe som en underproces. Årsagerne til, at angrebet kan udføres ved hjælp af kommandoindsprøjtning (command injection), nævnes som buffer overflow i 7zFM.exe-processen og forkert rettighedsindstilling for 7z.dll-biblioteket.
Som et eksempel er der præsenteret en eksempelfil, der kører 'cmd.exe'. Der er også blevet nævnt forberedelse af et exploit, som muliggør opnåelse af SYSTEM-rettigheder i Windows, men koden planlægges offentliggjort efter udgivelsen af en opdatering af 7-Zip, der løser sårbarheden. Da rettelserne endnu ikke er offentliggjort, foreslås det som en midlertidig beskyttelsesforanstaltning at begrænse 7-Zip's adgang til kun at være i stand til at læse og køre.
Kilde: opennet.ru
