Haavoittuvuus (CVE-7-2022) on tunnistettu ilmaisessa arkistointiohjelmassa 29072-Zip, joka mahdollistaa mielivaltaisten komentojen suorittamisen JÄRJESTELMÄ-oikeuksilla siirtämällä erityisesti suunniteltu tiedosto, jonka laajennus on .7z, alueelle, jossa on vihje avattaessa. "Ohje> Sisältö" -valikosta. Ongelma ilmenee vain Windows-alustalla, ja sen aiheuttaa 7z.dll-määrityksen virhe ja puskurin ylivuoto.
On huomionarvoista, että saatuaan ilmoituksen ongelmasta 7-Zip-kehittäjät eivät tunnustaneet haavoittuvuutta ja ilmoittivat haavoittuvuuden lähteen olevan Microsoft HTML Helper -prosessi (hh.exe), joka suorittaa koodia, kun tiedostoa siirretään. Haavoittuvuuden tunnistanut tutkija uskoo, että hh.exe on vain epäsuorasti mukana haavoittuvuuden hyödyntämisessä, ja hyväksikäytössä määritetty komento käynnistetään 7zFM.exe:ssä lapsiprosessina. Syitä mahdolliselle hyökkäykselle komentoinjektion kautta sanotaan olevan puskurin ylivuoto 7zFM.exe-prosessissa ja 7z.dll-kirjaston virheelliset oikeudet.
Esimerkkinä näytetään ohjetiedosto, joka suorittaa "cmd.exe". On myös ilmoitettu, että valmistellaan hyväksikäyttöä, joka mahdollistaa SYSTEM-oikeuksien hankkimisen Windowsissa, mutta sen koodi on tarkoitus julkaista haavoittuvuuden poistavan 7-Zip-päivityksen julkaisun jälkeen. Koska korjauksia ei ole vielä julkaistu, suojauksen kiertämiseksi ehdotetaan, että 7-zip-ohjelman pääsyä rajoitetaan vain luku- ja suorituskäyttöön.
Lähde: opennet.ru