In 7-Zip, una vulnerabilità è stata identificata (CVE-2022-29072) che consente di eseguire comandi arbitrari con privilegi di SYSTEM spostando un file appositamente formattato con estensione .7z nell'area con suggerimento mostrato durante l'apertura del menu "Help>Contents". Il problema si manifesta solo sulla piattaforma Windows ed è causato da una combinazione di una configurazione errata della libreria 7z.dll e un overflow del buffer.
È interessante notare che dopo essere stati informati del problema, gli sviluppatori di 7-Zip non hanno riconosciuto la vulnerabilità e hanno dichiarato che la fonte di essa è il processo Microsoft HTML Helper (hh.exe), che esegue codice quando si sposta il file. Il ricercatore che ha scoperto la vulnerabilità ritiene che hh.exe partecipi solo indirettamente all'esploitazione della vulnerabilità, mentre il comando specificato nell'exploit viene eseguito in 7zFM.exe come processo figlio. Le ragioni che rendono possibile l'esecuzione di un attacco tramite injection di comandi sono l'overflow del buffer nel processo 7zFM.exe e una configurazione errata dei diritti per la libreria 7z.dll.
Come esempio, è stato dimostrato un file di aiuto che avvia "cmd.exe". È stata anche segnalata la preparazione di un exploit in grado di ottenere privilegi di SYSTEM in Windows, ma il suo codice verrà pubblicato solo dopo il rilascio di un aggiornamento di 7-Zip per risolvere la vulnerabilità. Poiché le correzioni non sono ancora state pubblicate, come soluzione temporanea si consiglia di limitare all'applicazione 7-Zip l'accesso solo alla lettura e all'esecuzione.
Fonte: opennet.ru
