近日，知名压缩工具 7-Zip 被曝出了严重的安全漏洞，该漏洞编号为 CVE-2024-11477，允许远程攻击者执行恶意代码。

漏洞需要在用户解压缩 Zstandard 格式时才能暴露，攻击者如果制作特殊的压缩档案，并诱导用户开启就有可能激活该漏洞。

据介绍，漏洞存在于 Zstandard 解压缩的实现中。此问题由于未正确验证用户提供的数据而引发，这可能导致在写入内存之前出现整数下溢。攻击者可以利用此漏洞在当前进程的上下文中执行代码，但要利用此漏洞，需要与此库交互，但攻击媒介可能因实施而异。

根据趋势科技安全研究部的 Nicholas Zubrisky 的说法，攻击者可以通过说服用户打开精心准备的存档来利用此漏洞，这些存档可以通过电子邮件附件或共享文件分发。

Zstandard 格式在 Linux 环境中尤为普遍，通常用于各种文件系统，包括 Btrfs、SquashFS 和 OpenZFS。

漏洞影响

  • 在受影响的系统上执行任意代码
  • 获得与登录用户相同的访问权限
  • 可能实现完全的系统绕过

缓解措施和修复

7-Zip 已经在 24.07 版本中解决了该问题，由于该软件缺乏集成的更新机制，用户必须手动下载并安装最新版本以保护其系统，官网地址：https://www.7-zip.org/。

开发商也提醒用户主动更新 7-Zip 以避免潜在风险。

免责声明：本文系转载，版权归原作者所有；旨在传递信息，不代表一休教程网的观点和立场。