Tasuta arhiivis 7-Zip on tuvastatud haavatavus (CVE-2022-29072), mis võimaldab SÜSTEEMI privileegidega suvalisi käske täita, teisaldades spetsiaalselt loodud faili laiendiga 7z avamisel kuvatava vihjega piirkonda. menüüst „Abi>Sisu”. Probleem ilmneb ainult Windowsi platvormil ja selle põhjuseks on faili 7z.dll vale konfiguratsioon ja puhvri ületäitumine.
Tähelepanuväärne on see, et pärast probleemist teavitamist ei tunnistanud 7-Zipi arendajad haavatavust ja väitsid, et haavatavuse allikaks oli Microsoft HTML Helper protsess (hh.exe), mis käivitab faili teisaldamisel koodi. Haavatavuse tuvastanud uurija usub, et hh.exe on haavatavuse ärakasutamisega seotud vaid kaudselt ning ärakasutamises määratud käsk käivitatakse 7zFM.exe-s alamprotsessina. Väidetavalt on käsusüsti kaudu ründe läbiviimise võimalikkuse põhjusteks 7zFM.exe protsessi puhvri ületäitumine ja 7z.dll teegi õiguste valed sätted.
Näitena kuvatakse abifaili näidis, mis käivitab "cmd.exe". Samuti teatatakse, et valmistatakse ette ärakasutamine, mis võimaldab saada Windowsis SÜSTEEMI privileege, kuid selle kood on plaanis avaldada pärast haavatavuse kõrvaldava 7-Zip-i värskenduse avaldamist. Kuna parandusi ei ole veel avaldatud, on kaitse parandamiseks tehtud ettepanek piirata 7-zip-programmi juurdepääsu ainult lugemiseks ja käitamiseks.
Allikas: opennet.ru