Vulnerabilitățile 7-Zip permit executarea de cod arbitrar de la distanță

Au fost constatate două vulnerabilități severe în popularul program open-source de arhivare a fișierelor, 7-Zip, care ar putea permite atacatorilor la distanță să execute cod arbitrar.

Identificate ca CVE-2025-11001 și CVE-2025-11002, vulnerabilitățile afectează toate versiunile software-ului anterioare celei mai recente versiuni și necesită aplicarea imediată a unor patch-uri.

Esența ambelor vulnerabilități constă în modul în care 7-Zip gestionează symbolic links încorporate în arhivele ZIP. Conform avizului, un atacator poate crea un fișier ZIP rău intenționat ce conține date malițioase pentru a exploata această vulnerabilitate.

Când un utilizator cu o versiune vulnerabilă de 7-Zip încearcă să decomprime arhiva, procesul malițios poate fi manipulat pentru a executa o eroare de tip directory traversal. 

Acest lucru permite procesului de extragere să  scrie fișiere în exteriorul folderului de destinație prevăzut, plasând potențial payload-uri malițioase în locații confidențiale ale sistemului.

Deși atacul este inițiat de la distanță prin distribuirea fișierului rău intenționat, exploatarea necesită interacțiunea utilizatorului, deoarece acesta trebuie să acceseze arhiva. Vectorii specifici de atac pot varia în funcție de modul în care 7-Zip este implementat în diferite medii.

Atât CVE-2025-11001, cât și CVE-2025-11002 au primit un scor CvSS de 7.0/10, fiind clasificate ca având un grad de severitate high.

O exploatare reușită ar putea permite unui atacator să execute cod arbitrar pe sistemul afectat cu privilegiile contului de serviciu sau ale utilizatorului care rulează aplicația 7-Zip.

Acest lucru ar putea duce la compromiterea completă a sistemului, sustragerea de date sau implementarea de malware suplimentar, cum ar fi ransomware.

Dezvoltatorul 7-Zip a lansat versiunea 25.00, care remediază aceste vulnerabilități de securitate. Se recomandă tuturor utilizatorilor să își actualizeze imediat instalările pentru a se proteja împotriva potențialelor exploatări.

Sursă: https://cybersecuritynews.com/7-zip-vulnerabilities/