Vulnerabileco (CVE-7-2022) estis identigita en la senpaga arĥivisto 29072-Zip, kiu ebligas plenumi arbitrajn komandojn kun SISTEMA-privilegioj movante speciale desegnitan dosieron kun etendo .7z al la areo kun sugesto montrita dum malfermo. la menuo "Helpo> Enhavo". La problemo nur aperas sur la Vindoza platformo kaj estas kaŭzita de kombinaĵo de misagordo de 7z.dll kaj bufro superfluo.
Estas rimarkinde, ke post sciigo pri la problemo, la programistoj de 7-Zip ne agnoskis la vundeblecon kaj deklaris, ke la fonto de la vundebleco estis la procezo de Microsoft HTML Helper (hh.exe), kiu rulas kodon kiam la dosiero estas movita. La esploristo, kiu identigis la vundeblecon, kredas, ke hh.exe estas nur nerekte implikita en ekspluatado de la vundebleco, kaj la komando specifita en la ekspluato estas lanĉita en 7zFM.exe kiel infana procezo. La kialoj de la ebleco fari atakon per komanda injekto laŭdire estas bufro-superfluo en la procezo 7zFM.exe kaj malĝustaj agordoj de rajtoj por la biblioteko 7z.dll.
Ekzemple, ekzempla helpdosiero kiu rulas "cmd.exe" estas montrita. Oni ankaŭ anoncas, ke ekspluataĵo estos preparita, kiu permesos al oni akiri SISTEmajn privilegiojn en Vindozo, sed ĝia kodo estas planita esti publikigita post la liberigo de la ĝisdatigo 7-Zip, kiu forigas la vundeblecon. Ĉar la korektoj ankoraŭ ne estis publikigitaj, kiel solvo por protekto, oni proponas limigi la aliron de la 7-zip-programo nur por legi kaj funkcii.
fonto: opennet.ru