Une vulnérabilité (CVE-7-2022) a été identifiée dans l'archiveur gratuit 29072-Zip, qui permet d'exécuter des commandes arbitraires avec les privilèges SYSTEM en déplaçant un fichier spécialement conçu avec une extension .7z vers la zone avec un indice affiché lors de l'ouverture. le menu « Aide>Contenu ». Le problème n'apparaît que sur la plate-forme Windows et est dû à une combinaison d'une mauvaise configuration de 7z.dll et d'un débordement de tampon.
Il est à noter qu'après avoir été informés du problème, les développeurs de 7-Zip n'ont pas reconnu la vulnérabilité et ont déclaré que la source de la vulnérabilité était le processus Microsoft HTML Helper (hh.exe), qui exécute du code lorsque le fichier est déplacé. Le chercheur qui a identifié la vulnérabilité estime que hh.exe n'est qu'indirectement impliqué dans l'exploitation de la vulnérabilité et que la commande spécifiée dans l'exploit est lancée dans 7zFM.exe en tant que processus enfant. Les raisons de la possibilité de mener une attaque par injection de commandes seraient un débordement de tampon dans le processus 7zFM.exe et des paramètres de droits incorrects pour la bibliothèque 7z.dll.
À titre d'exemple, un exemple de fichier d'aide qui exécute "cmd.exe" est affiché. Il est également annoncé qu'un exploit sera préparé qui permettra d'obtenir les privilèges SYSTEM sous Windows, mais son code devrait être publié après la sortie de la mise à jour 7-Zip qui élimine la vulnérabilité. Étant donné que les correctifs n'ont pas encore été publiés, comme solution de contournement pour la protection, il est proposé de limiter l'accès du programme 7-zip à la lecture et à l'exécution uniquement.
Source: opennet.ru