Në arkivatorin e lirë 7-Zip është zbuluar një dobësi (CVE-2022-29072), e cila lejon ekzekutimin e komandave të rastësishme me privilegje SYSTEM përmes zhvendosjes së një skedari me formate të veçanta .7z në hapësirën e cila tregohet gjatë hapjes së menusë "Help>Contents". Problemi ndodh vetëm në platformën Windows dhe shkaktohet nga një kombinim i konfigurimit të gabuar të bibliotekës 7z.dll dhe mbinxehjes së tamponëve.
ĂshtĂ« e rĂ«ndĂ«sishme tĂ« theksohet se pas njoftimit pĂ«r problemin, zhvilluesit e 7-Zip nuk e pranuan dobĂ«sinĂ« dhe deklaruan se burimi i saj Ă«shtĂ« procesi Microsoft HTML Helper (hh.exe), i cili ekzekuton kodin gjatĂ« zhvendosjes sĂ« skedarit. Hulumtuesi qĂ« zbuloi dobĂ«sinĂ« beson se hh.exe Ă«shtĂ« vetĂ«m pĂ«rfshirĂ«s indirekt nĂ« shfrytĂ«zimin e dobĂ«sisĂ«, ndĂ«rsa komanda e dhĂ«nĂ« nĂ« eksploatimin ekzekutohet nĂ« 7zFM.exe si njĂ« proces dytĂ«sor. ShkaktarĂ«t e mundĂ«sisĂ« pĂ«r tĂ« kryer njĂ« sulm pĂ«rmes zĂ«vendĂ«simit tĂ« komandave (command injection) janĂ« mbinxehja e tamponĂ«ve nĂ« procesin 7zFM.exe dhe konfiguratat e gabuara tĂ« tĂ« drejtave pĂ«r bibliotekĂ«n 7z.dll.
Si një shembull është demonstruar një skedar ndihmës që ekzekuton "cmd.exe". Gjithashtu është deklaruar përgatitja e një eksploiti që lejon marrjen e privilegjeve SYSTEM në Windows, por kodi i tij do të publikohet pas lëshimit të përditësimit të 7-Zip që korrigjon dobësinë. Derisa rregullimet ende nuk janë publikuar, si një mënyrë mbrojtëse sugjerohet kufizimi i aksesit të programit 7-zip vetëm me mundësinë e leximit dhe ekzekutimit.
Burimi: opennet.ru
