Në arkivatorin falas 7-Zip është zbuluar një vulnerabilitet (CVE-2022-29072), që lejon ekzekutimin e komandave të rastit me privilegje SYSTEM përmes zhvendosjes së një skedari të formatuar në mënyrë speciale me zgjerimin .7z në zonën me njoftimin që shfaqet kur hapet menuja "Help>Contents". Problemi shfaqet vetëm në platformën Windows dhe shkaktohet nga një kombinim i konfigurimit të gabuar të bibliotekës 7z.dll dhe mbiparashikimit të tamponit.
ĂshtĂ« e rĂ«ndĂ«sishme tĂ« theksohet se pas njoftimit pĂ«r problemin, zhvilluesit e 7-Zip nuk e kanĂ« pranuar vulnerabilitetin dhe kanĂ« deklaruar se burimi i vulnerabilitetit Ă«shtĂ« procesi Microsoft HTML Helper (hh.exe), i cili ekzekuton kodin kur zhvendoset skedari. KĂ«rkuesi qĂ« identifikoi vulnerabilitetin mendon se hh.exe Ă«shtĂ« vetĂ«m nĂ« njĂ« rol tĂ« tĂ«rthortĂ« nĂ« shfrytĂ«zimin e vulnerabilitetit, dhe komandat e cituara nĂ« eksploatimin janĂ« ekzekutuar nĂ« 7zFM.exe si njĂ« proces dytĂ«sor. ShkaktarĂ«t e mundĂ«sisĂ« pĂ«r tĂ« kryer njĂ« sulm pĂ«rmes inekspozitĂ«s sĂ« komandave pĂ«rfshijnĂ« mbiparashikimin e tamponit nĂ« procesin 7zFM.exe dhe konfigurimin e gabuar tĂ« tĂ« drejtave pĂ«r bibliotekĂ«n 7z.dll.
Si një shembull, është demonstruar një skedar ndihmës që ekzekuton "cmd.exe". Gjithashtu është bërë e ditur se po përgatitet një eksploatim, i cili do të lejojë marrjen e privilegjeve SYSTEM në Windows, por kodi i tij planifikohet të publikohet pas lëshimit të një përditësimi të 7-Zip që do të eliminojë vulnerabilitetin. Derisa rregullimet të publikohen, si një alternative për mbrojtje, rekomandohet të kufizohet programu 7-zip vetëm me mundësinë e leximit dhe ekzekutimit.
Burimi: opennet.ru
