MWC 2018
2018
Computex
IFA 2018
В архиваторе 7-Zip для Windows обнаружили уязвимость, позволяющую злоумышленникам выполнять вредоносный код при открытии специально подготовленного файла или посещении вредоносной веб-страницы. Исправление уже вошло в обновление, однако пользователям необходимо установить его вручную, сообщает PCMag.
Источник изображения: 7-zip.org
Согласно предупреждению, проблема была обнаружена исследователем Лэндоном Пэном (Landon Peng), а сведения о ней впервые раскрыла платформа Zero Day Initiative. Подробности эксплуатации пока не публикуются из-за соображений безопасности, однако известно, что уязвимость связана с обработкой непосредственно самой программой 7-Zip данных, сжатых в формате XZ: при обработке специально сформированного содержимого возникает переполнение буфера, позволяющее выполнять произвольный код в контексте текущего процесса.
Для того, чтобы уязвимость сработала требуется участие пользователя: жертва должна посетить подготовленную злоумышленниками веб-страницу или открыть вредоносный файл. Поскольку 7-Zip широко используется для работы с архивами, атакующие потенциально могут распространять заражённые XZ-файлы на большом количестве компьютеров. Напомним, эта бесплатная программа существует с 1999 года, и её скачали, предположительно, десятки миллионов пользователей.
Уязвимость была устранена в версии 26.02, выпущенной 25 июня. При этом 7-Zip не поддерживает автоматическое обновление, поэтому пользователям необходимо самостоятельно загрузить и установить актуальную версию. Аналогичная ситуация ранее наблюдалась с архиватором WinRAR, отсутствие автообновления в котором также позволяло киберпреступникам продолжать атаки на пользователей, не установивших исправления.
Источник:
