Une vulnérabilité a été détectée dans l'archiveur libre 7-Zip (CVE-2022-29072), permettant l'exécution de commandes arbitraires avec les privilèges SYSTEM via le déplacement d'un fichier spécialement conçu avec l'extension .7z dans la zone de suggestion affichée lors de l'ouverture du menu « Aide>Contenu ». Le problème ne se manifeste que sur la plateforme Windows et est causé par une combinaison de mauvaise configuration de la bibliothèque 7z.dll et d'un débordement de tampon.
Il est à noter qu'après avoir été informés du problème, les développeurs de 7-Zip n'ont pas reconnu la vulnérabilité et ont déclaré que la source de la vulnérabilité était le processus Microsoft HTML Helper (hh.exe), qui exécute du code lors du déplacement du fichier. Le chercheur ayant découvert la vulnérabilité estime que hh.exe n'est qu'indirectement impliqué dans l'exploitation de la vulnérabilité, et que la commande spécifiée dans l'exploit est exécutée dans 7zFM.exe en tant que processus enfant. Les causes permettant la réalisation d'une attaque par injection de commandes sont attribuées à un débordement de tampon dans le processus 7zFM.exe et à une mauvaise configuration des droits pour la bibliothèque 7z.dll.
À titre d'exemple, un fichier d'aide a été démontré, permettant de lancer « cmd.exe ». Il a également été annoncé qu'un exploit permettant d'obtenir des privilèges SYSTEM dans Windows est en préparation, mais son code devrait être publié après la sortie de la mise à jour de 7-Zip corrigeant la vulnérabilité. En attendant que les corrections soient publiées, il est recommandé de restreindre le programme 7-Zip à un accès en lecture et exécution seulement.
Source : opennet.ru
