Foi identificada uma vulnerabilidade no compressão livre 7-Zip (CVE-2022-29072), que permite executar comandos arbitrários com privilégios SYSTEM ao mover um arquivo especialmente formatado com a extensão .7z para a área correspondente ao prompt exibido ao abrir o menu 'Ajuda>Conteúdos'. O problema se manifesta apenas na plataforma Windows e é causado por uma combinação de configuração incorreta da biblioteca 7z.dll e uma falha de buffer.
Curiosamente, após a notificação sobre o problema, os desenvolvedores do 7-Zip não reconheceram a vulnerabilidade e afirmaram que a fonte da vulnerabilidade é o processo Microsoft HTML Helper (hh.exe), que executa código ao mover o arquivo. O pesquisador que identificou a vulnerabilidade acredita que hh.exe participa indiretamente da exploração da vulnerabilidade, enquanto o comando mencionado no exploit é executado no 7zFM.exe como um processo filho. As causas que permitem um ataque por injeção de comandos incluem falha de buffer no processo 7zFM.exe e configuração inadequada de permissões para a biblioteca 7z.dll.
Como exemplo, foi demonstrado um arquivo de ajuda que executa 'cmd.exe'. Também foi declarada a preparação de um exploit que permite obter privilégios SYSTEM no Windows, mas seu código está previsto para ser publicado após o lançamento da atualização do 7-Zip que corrige a vulnerabilidade. Como as correções ainda não foram publicadas, uma solução alternativa proposta é limitar o acesso do programa 7-Zip à leitura e execução apenas.
Fonte: opennet.ru
