7-Zip är en populär öppen källkod filkomprimeringsprogram som stöder alla större format komprimering och stöd för en mängd andra funktioner.
Talos, en Cisco företaget, upptäckte en sårbarhet i 7-Zip som gör det möjligt för angripare att köra kod på datorsystem som har samma rättigheter som den bakomliggande processen.
För att vara exakt, sårbarhet hittades i koden som hanterar Universal Disk Format (UDF) filer i 7-Zip.
Det är standard file system för DVD-video och DVD-audio, och används för andra optiska skivformat.. sårbarheten tar fördel av felaktiga indata. Om du är intresserad av information, följ länken till Talos blogg som avslöjar två sårbarheter som finns i delsystem.
Säkerhetsproblem har varit fast i 7-Zip 16.0 som har varit släppas denna månad.
Frågan
Om du använder 7-Zip, du bör uppdatera programmet omedelbart för att skydda datorn från attacker mot sårbarhet.
Det huvudsakliga problemet är dock att tredje-parts program använda 7-Zip: s bibliotek. Detta inkluderar många komprimering program, säkerhetsprogram från Malwarebytes och andra program som erbjuder eller använd komprimering-funktionalitet.
Om dessa program använder pre-7-Zip 16.0 funktioner, då de är också utsatta för angrepp. Detta är av särskild betydelse när det gäller säkerhetsprogram som man kan köra med förhöjda rättigheter, medan andra program kan inte nödvändigtvis.
Eftersom koden att ett framgångsrikt utnyttja körs på systemet använder samma rättigheter som den mottagande processen, kan konsekvenserna bli mer omfattande på grund av det.
Vad som gör detta särskilt problematiskt är att det finns inget sätt att ta reda på om ett program som du använder är att använda 7-Zip fungerar eller inte. Det är ingen mästare lista över program att använda 7-Zip för komprimering funktionalitet, och många företag och utvecklare inte avslöja om 7-Zip är som används.
En av de första program för att åtgärda problemet är populära filkomprimeringsprogram PeaZip. Det var bara uppdateras för att åtgärda 7-Zip sårbarhet. Det är troligt att andra program kommer att uppdateras inom en snar framtid att använda den nya fasta funktioner som 7-Zip ger istället för den utsatta.
Tills det händer dock, och med dem den underliggande systemet är fortfarande utsatta för angrepp.