V bezplatnom archivere 7-Zip bola objavená zraniteľnosť (CVE-2022-29072), ktorá umožňuje vykonávať ľubovoľné príkazy s privilégiami SYSTEM presunutím špeciálne upraveného súboru s príponou .7z do oblasti s upozornením, ktoré sa zobrazuje pri otvorení menu „Help>Contents“. Problém sa prejavuje iba na platforme Windows a je spôsobený kombináciou nesprávneho nastavenia knižnice 7z.dll a pretečením vyrovnávacej pamäte.
Zaujímavé je, že po oznámení o probléme vývojári 7-Zip nezaznamenali zraniteľnosť a uviedli, že zdrojom zraniteľnosti je proces Microsoft HTML Helper (hh.exe), ktorý spúšťa kód pri presunutí súboru. Výskumník, ktorý zraniteľnosť odhalil, považuje hh.exe len za nepriamu súčasť vykonávania zraniteľnosti, pričom v explóite uvedený príkaz sa spúšťa v 7zFM.exe ako podradený proces. Príčinami možnosti uskutočnenia útoku prostredníctvom injekcie príkazov (command injection) sú pretečenie vyrovnávacej pamäte v procese 7zFM.exe a nesprávne nastavenie práv pre knižnicu 7z.dll.
Ako príklad bol predvedený súbor nápovedy, ktorý spúšťa „cmd.exe“. Taktiež bolo oznámené o príprave explóitu, ktorý umožňuje získať privilégia SYSTEM vo Windows, ale jeho kód plánujú zverejniť po vydaní aktualizácie 7-Zip, ktorá odstráni zraniteľnosť. Keďže opravy zatiaľ neboli zverejnené, ako obchádzkové opatrenie sa odporúča obmedziť programu 7-zip prístup iba na čítanie a spúšťanie.
Zdroj: opennet.ru
