Im kostenlosen Archivierungsprogramm 7-Zip wurde eine Schwachstelle (CVE-2022-29072) entdeckt, die es ermöglicht, beliebige Befehle mit SYSTEM-Rechten auszuführen, indem eine speziell gestaltete Datei mit der Erweiterung .7z in einen Bereich mit einem Hinweis verschoben wird, der beim Öffnen des Menüs „Hilfe>Inhalt“ angezeigt wird. Das Problem tritt nur auf der Windows-Plattform auf und wird durch eine falsche Konfiguration der Bibliothek 7z.dll sowie einen Pufferüberlauf verursacht.
Bemerkenswert ist, dass die Entwickler von 7-Zip nach der Benachrichtigung über das Problem die Schwachstelle nicht anerkannten und erklärten, dass der Ursprung der Schwachstelle der Microsoft HTML Helper-Prozess (hh.exe) sei, der Code beim Verschieben der Datei ausführt. Ein Forscher, der die Schwachstelle entdeckt hat, ist der Ansicht, dass hh.exe nur indirekt an der Ausnutzung der Schwachstelle beteiligt ist und der im Exploit angegebene Befehl als Kindprozess in 7zFM.exe ausgeführt wird. Die Ursachen für die Möglichkeit eines Angriffs durch Befehlseinfügung (Command Injection) sind der Pufferüberlauf im Prozess 7zFM.exe und eine fehlerhafte Berechtigungsangabe für die Bibliothek 7z.dll.
Als Beispiel wurde eine Hilfedatei demonstriert, die „cmd.exe“ startet. Außerdem wurde angekündigt, einen Exploit vorzubereiten, der es ermöglicht, SYSTEM-Rechte in Windows zu erlangen, dessen Code jedoch nach der Veröffentlichung eines Updates für 7-Zip zur Behebung der Schwachstelle veröffentlicht werden soll. Da die Korrekturen bisher nicht veröffentlicht wurden, wird als vorläufiger Schutz vorgeschlagen, der 7-Zip-Anwendung nur Lese- und Ausführungsrechte zu gewähren.
Quelle: opennet.ru
