A népszerű tömörítő program, a 7-Zip a jelek szerint egy elég súlyos sebezhetőséget tartalmaz, amelynek köszönhetően magasabb jogkört szerezhet az adott rendszeren egy jól felkészült támadó, ennek eredményeként gyakorlatilag teljes hozzáféréshez juthat, ami súlyos következményekkel járhat. A sebezhetőség kiaknázására már készült is példakód, amellyel viszonylag egyszerűen és gyorsan végrehajtható a támadás, ezt egy GitHub felhasználó, Kagancapar már demonstrálta is.
A CVE-2022-29072-es bejegyzés alatt futó sebezhetőség csak és kizárólag Windows alatt aknázható ki, így a több platformot is támogató 7-Zip egyéb verziói szerencsére biztonságban vannak. A jelek szerint igazából nemcsak a 7-Zip, hanem a Windows Help app is felelős a sérülékenységért, ugyanis a hibát a Help->Contents terület segítségével lehet kiaknázni. Ehhez csak egy megfelelően megalkotott, .7z kiterjesztéssel ellátott fájlra van szükség, amit egyszerűen csak az említett területre kell húzni. A fájl segítségével verem-túlcsordulást lehet elérni a 7zFM.exe fájl esetében a Help ablakon keresztül, ami a jogosultsági szint emelkedését vonja maga után, azaz a 7-Zip fejlesztői csak részben felelnek a hibáért.
Jelenleg, hírünk írásakor még csak a 21.07-es verzió érhető el a népszerű szoftverből, ez pedig nem tartalmazza a javítást. Aki szeretne biztosra menni, és szeretné elkerülni, hogy egy támadó esetleg profitálhasson a sérülékenységből, kétféle módszert vethet be. Az első módszer az, hogy ha a 7-Zip alkalmazás nem frissül, egyszerűen töröljük a 7-zip.chm fájlt az alkalmazás könyvtárából, így a sérülékenység megszűnik. A másik módszer, hogy állítsuk át a 7-Zip esetében a felhasználói jogosultságokat, vagyis minden felhasználó esetében csak olvasási és futtatási jog legyen érvényben, ez is megoldja a hibát.
A 7-Zip egyébként egy nagyon népszerű és hasznos kis alkalmazás, ami személyes célra ingyenesen és hatékonyan használható, valamint üzleti környezetben is profitálhatunk belőle, ugyancsak ingyenesen. Extra, hogy az alkalmazás több platformot is támogat, nem csak Windows alatt használható.
