7-Zipi haavatavus, mis võimaldab süsteemi õiguste saamist Windowsis.

Vabav 7-Zip arhiiveris tuvastati haavatavus (CVE-2022-29072), mis võimaldab teostada suvalisi käske SYSTEMi õigustes, liikudes spetsiaalselt koostatud failiga, millel on laiend .7z, piirkonda, kus kuvatakse menüü „Help>Contents” avamisel näidatav näpunäide. Probleem ilmneb ainult Windows platvormil ja see tuleneb 7z.dll teegi vale seadistuse ja mälupuhvri ületäitumise kombinatsioonist.

On tähelepanuväärne, et pärast probleemi teavitamist ei tunnistanud 7-Zip arendajad haavatavust ja väitsid, et haavatavuse allikaks on Microsoft HTML Helper (hh.exe), mis käivitab koodi faili liikumisel. Haavatavuse avastanud uurija usub, et hh.exe osaleb haavatavuse ärakasutamises vaid kaudselt, ning rõhuasetus on, et väljenduses nimetatud käsk käivitub 7zFM.exe aspektina. Rünnaku võimalusi käskude asendamise (command injection) kaudu nimetatakse põhjuseks 7zFM.exe protsessi mälupuhvri ületäitumine ja 7z.dll teegi õiguste vale seadistamine.

Näidatud on näide abifailist, mis käivitab „cmd.exe”. Samuti on teatatud, et valmib eksploit, mis võimaldab saada Windowsis SYSTEM õigused, kuid selle kood plaanitakse avalikustada pärast 7-Zip uuenduse väljalaskmist, mis kõrvaldab haavatavuse. Kuna parandusi pole veel avaldatud, soovitatakse 7-Zipile piirata juurdepääsu ainult lugemise ja käivitamise õigustega.

Allikas: opennet.ru