In de gratis archiveringssoftware 7-Zip is een kwetsbaarheid (CVE-2022-29072) ontdekt, waardoor willekeurige opdrachten met SYSTEM-rechten kunnen worden uitgevoerd door een speciaal opgemaakt .7z-bestand naar een gebied te verplaatsen met een aanwijzing die verschijnt bij het openen van het menu 'Help>Inhoud'. Het probleem doet zich alleen voor op het Windows-platform en wordt veroorzaakt door een combinatie van onjuiste configuratie van de bibliotheek 7z.dll en bufferoverflow.
Opmerkelijk is dat de ontwikkelaars van 7-Zip na kennisgeving van het probleem de kwetsbaarheid niet herkenden en verklaarden dat de bron van de kwetsbaarheid het proces Microsoft HTML Helper (hh.exe) is, dat code uitvoert bij het verplaatsen van een bestand. De onderzoeker die de kwetsbaarheid ontdekte, is van mening dat hh.exe slechts indirect betrokken is bij de exploitatie van de kwetsbaarheid, terwijl het in de exploit vermelde commando wordt uitgevoerd in 7zFM.exe als een subprocess. De mogelijkheden voor aanvallen via command injection worden toegeschreven aan bufferoverflow in het proces 7zFM.exe en onjuiste configuratie van rechten voor de 7z.dll-bibliotheek.
Als voorbeeld is een voorbeeld van een hulpbestand getoond dat 'cmd.exe' start. Ook is aangekondigd dat er een exploit in ontwikkeling is die SYSTEM-rechten in Windows kan verkrijgen, maar de code zal na de uitgave van de 7-Zip-update die de kwetsbaarheid verhelpt, worden gepubliceerd. Aangezien de reparaties nog niet zijn gepubliceerd, wordt als tijdelijke oplossing aangeraden om 7-Zip alleen lees- en uitvoeringsrechten te geven.
Bron: opennet.ru
