Нови две уязвимости в 7-Zip за отдалечено хакване на компютрите

Изследователи от областта на информационната безопасност откриха две критични уязвимости в популярната програма за компресиране на данни 7-Zip. Уязвимостите дават възможност на нападателите да изпълнят произволен код на компютъра на жертвата, ако той отвори или извлече съдържанието на специално създаден ZIP архив.

Изданието Tom's Hardware съобщи, че проблемът е бил докладван на 7 октомври от японската компания Trend Micro, специализирана в софтуера за киберсигурност, в рамките на инициативата Zero Day Initiative (ZDI). Уязвимостите са регистрирани под идентификаторите CVE-2025-11001 и CVE-2025-11002 и са свързани с начина, по който 7-Zip обработва символните линкове в ZIP файловете. Атакуващият може да създаде архив, способен да излезе извън целевата директория за разопаковане и да запише файлове по произволни системни пътища. Когато се използват в комбинация, тези уязвимости позволяват изпълнението на код с привилегиите на текущия потребител, което е достатъчно за компрометиране на Windows средата. И двете уязвимости имат базова CVSS оценка 7,0.

Според бюлетина на ZDI за тяхното използване е необходимо минимално взаимодействие с потребителя - достатъчно е просто да се отвори или изтегли зловредния архив. След това уязвимостта за обхождане на директориите чрез символни връзки може да презапише файлове или да остави "полезен товар" в чувствителни пътища, което позволява на хакера да прихване потока на изпълнение. ZDI класифицира и двата бъга като уязвимости за обхождане на директориите, които водят до отдалечено изпълнение на код в контекста на обслужващия акаунт.

Руският разработчик на 7-Zip Игор Павлов пусна версия 25.00 на 5 юли, която отстрани тези уязвимости. Стабилната версия 25.01 се появи през август. Публичното оповестяване на техническите подробности обаче стана едва тази седмица, когато ZDI публикува информация за тях. Това означава, че потребителите, които не са актуализирали софтуера от началото на лятото, са останали уязвими в продължение на месеци, без да знаят това. Освен това, поради липсата на механизъм за автоматично актуализиране, много от тях продължават да използват по-стари версии на програмата.

По-рано тази година уязвимостта CVE-2025-0411 привлече вниманието на експертите, тъй като позволяваше заобикаляне на защитата на Windows Mark-of-the-Web (MOTW) чрез вграждане на злонамерени ZIP архиви един в друг, което на практика премахваше етикета „изтеглено от интернет“ от файловете. Този проблем беше отстранен във версия 24.09.

За да се гарантира защитата, се препоръчва да се изтегли 7-Zip версия 25.01 или по-нова директно от официалния уеб сайт на проекта. Инсталаторът ще актуализира съществуващата конфигурация, без да променя потребителските настройки. Пред обновяването трябва да се избягва разопаковането на архиви от ненадеждни източници.