یک آسیب‌پذیری (CVE-7-2022) در بایگانی رایگان 29072-Zip شناسایی شده است که با انتقال یک فایل طراحی‌شده خاص با پسوند 7z به منطقه همراه با اشاره‌ای که هنگام باز کردن نشان داده می‌شود، اجازه می‌دهد دستورات دلخواه با امتیازات SYSTEM اجرا شوند. منوی "Help> Contents". مشکل فقط در پلتفرم ویندوز ظاهر می شود و به دلیل ترکیبی از پیکربندی نادرست 7z.dll و سرریز بافر ایجاد می شود.
قابل ذکر است که پس از اطلاع از مشکل، توسعه دهندگان 7-Zip این آسیب پذیری را تایید نکردند و منبع آسیب پذیری را فرآیند Microsoft HTML Helper (hh.exe) اعلام کردند که هنگام انتقال فایل، کد را اجرا می کند. محققی که این آسیب‌پذیری را شناسایی کرده، معتقد است که hh.exe فقط به‌طور غیرمستقیم در بهره‌برداری از آسیب‌پذیری دخالت دارد و دستور مشخص‌شده در اکسپلویت در ۷zFM.exe به‌عنوان یک فرآیند فرزند راه‌اندازی می‌شود. گفته می شود دلایل امکان انجام حمله از طریق تزریق دستور، سرریز بافر در فرآیند 7zFM.exe و تنظیمات نادرست حقوق برای کتابخانه 7z.dll است.
به عنوان مثال، یک نمونه فایل راهنما که "cmd.exe" را اجرا می کند نشان داده شده است. همچنین اعلام شده است که یک اکسپلویت آماده می شود که به فرد اجازه می دهد امتیازات SYSTEM را در ویندوز به دست آورد، اما قرار است کد آن پس از انتشار به روز رسانی 7-Zip منتشر شود که این آسیب پذیری را از بین می برد. از آنجایی که اصلاحات هنوز منتشر نشده اند، به عنوان یک راه حل برای محافظت، پیشنهاد می شود دسترسی برنامه 7-zip برای خواندن و اجرا محدود شود.
منبع: opennet.ru