Një dobësi (CVE-7-2022) është identifikuar në arkivuesin falas 29072-Zip, i cili lejon ekzekutimin e komandave arbitrare me privilegjet SYSTEM duke lëvizur një skedar të krijuar posaçërisht me një shtrirje .7z në zonë me një aluzion të treguar kur hapet menuja "Ndihmë>Përmbajtja". Problemi shfaqet vetëm në platformën Windows dhe shkaktohet nga një kombinim i konfigurimit të gabuar 7z.dll dhe një tejmbushje buffer.
Vlen të përmendet se pasi u njoftuan për problemin, zhvilluesit e 7-Zip nuk e pranuan dobësinë dhe deklaruan se burimi i dobësisë ishte procesi Microsoft HTML Helper (hh.exe), i cili ekzekuton kodin kur skedari zhvendoset. Studiuesi që identifikoi cenueshmërinë beson se hh.exe është i përfshirë vetëm në mënyrë indirekte në shfrytëzimin e cenueshmërisë dhe komanda e specifikuar në shfrytëzim lëshohet në 7zFM.exe si një proces i vogël. Arsyet për mundësinë e kryerjes së një sulmi përmes injektimit të komandës thuhet se janë një tejmbushje buferi në procesin 7zFM.exe dhe cilësimet e pasakta të të drejtave për bibliotekën 7z.dll.
Si shembull, shfaqet një skedar ndihmës mostër që ekzekuton "cmd.exe". Gjithashtu njoftohet se do të përgatitet një shfrytëzim që do të lejojë që dikush të fitojë privilegje SYSTEM në Windows, por kodi i tij është planifikuar të publikohet pas lëshimit të përditësimit 7-Zip që eliminon cenueshmërinë. Meqenëse rregullimet nuk janë publikuar ende, si një zgjidhje për mbrojtjen, propozohet të kufizohet qasja e programit 7-zip për të lexuar dhe ekzekutuar vetëm.
Burimi: opennet.ru