නිදහස් සංරක්ෂිත 7-Zip හි අවදානමක් (CVE-2022-29072) හඳුනාගෙන ඇත, එය විවෘත කිරීමේදී පෙන්වන ඉඟියක් සහිත ප්‍රදේශයට .7z දිගුවක් සහිත විශේෂයෙන් නිර්මාණය කරන ලද ගොනුවක් ගෙන යාමෙන් SYSTEM වරප්‍රසාද සමඟ හිතුවක්කාර විධාන ක්‍රියාත්මක කිරීමට ඉඩ සලසයි. "උදව්> අන්තර්ගත" මෙනුව. ගැටළුව දිස්වන්නේ වින්ඩෝස් වේදිකාවේ පමණක් වන අතර එය 7z.dll වැරදි වින්‍යාසය සහ බෆර පිටාර ගැලීමක එකතුවක් නිසා ඇතිවේ.
ගැටලුව පිළිබඳව දැනුම් දීමෙන් පසුව, 7-Zip සංවර්ධකයින් අවදානම පිළි නොගත් අතර, ගොනුව ගෙන යන විට කේතය ක්‍රියාත්මක කරන Microsoft HTML උපකාරක ක්‍රියාවලිය (hh.exe) අවදානමේ මූලාශ්රය බව ප්‍රකාශ කිරීම සැලකිය යුතු කරුණකි. අවදානම හඳුනා ගත් පර්යේෂකයා විශ්වාස කරන්නේ hh.exe වක්‍ර ලෙස අවදානම සූරාකෑමට පමණක් සම්බන්ධ වන අතර, සූරාකෑමේ දක්වා ඇති විධානය ළමා ක්‍රියාවලියක් ලෙස 7zFM.exe හි දියත් කෙරේ. විධාන එන්නත් කිරීම හරහා ප්‍රහාරයක් සිදු කිරීමට ඇති හැකියාවට හේතු 7zFM.exe ක්‍රියාවලියේ බෆර පිටාර ගැලීම සහ 7z.dll පුස්තකාලය සඳහා වැරදි අයිතිවාසිකම් සැකසීම් බව කියනු ලැබේ.
උදාහරණයක් ලෙස, "cmd.exe" ධාවනය වන නියැදි උපකාර ගොනුවක් පෙන්වයි. Windows හි SYSTEM වරප්‍රසාද ලබා ගැනීමට ඉඩ සලසන සූරාකෑමක් සකස් කරන බව ද නිවේදනය කර ඇත, නමුත් අවදානම ඉවත් කරන 7-Zip යාවත්කාලීනය නිකුත් කිරීමෙන් පසු එහි කේතය ප්‍රකාශයට පත් කිරීමට සැලසුම් කර ඇත. නිවැරදි කිරීම් තවමත් ප්‍රකාශයට පත් කර නොමැති බැවින්, ආරක්ෂාව සඳහා විසඳුමක් ලෙස, 7-zip වැඩසටහනේ කියවීමට සහ ධාවනය කිරීමට පමණක් ප්‍රවේශය සීමා කිරීමට යෝජනා කෙරේ.
මූලාශ්රය: opennet.ru