آرشیو یا اسب تروا؟ یک آسیب پذیری حیاتی در 7-ZIP میلیون ها دستگاه را تهدید می کند.
به گزارش ترفندستان به نقل از کانال تلگرامی ITsec NEWS
.
یک آسیب‌پذیری در ابزار فشرده‌سازی فایل 7-Zip کشف شده است که به مهاجمان اجازه می‌دهد تا از راه دور کدهای مخرب را از طریق بایگانی‌هایی که به‌ویژه آماده شده‌اند، اجرا کنند. برای رفع مشکل، توسعه دهندگان به روز رسانی را منتشر کرده اند که باید به صورت دستی نصب شود، زیرا برنامه از نصب خودکار به روز رسانی ها پشتیبانی نمی کند.
این آسیب‌پذیری که با نام CVE-2024-11477 با امتیاز شدت CVSS 7.8 گزارش شده است، به دلیل اعتبارسنجی ورودی ناکافی هنگام پردازش فایل‌های فشرده‌شده با استفاده از الگوریتم Zstandard است. این می تواند منجر به سرریز حافظه و تزریق کد مخرب شود. Zstandard به دلیل سرعت بالا و راندمان فشرده سازی در سیستم هایی مانند Btrfs، SquashFS و OpenZFS و همچنین برای فشرده سازی HTTP کاربرد زیادی دارد.
مهاجمان می‌توانند با ارسال آرشیوهای ساخته‌شده مخصوص به کاربران ۷-Zip، به عنوان مثال، از طریق ایمیل یا اشتراک‌گذاری‌های شبکه، از این آسیب‌پذیری سوء استفاده کنند. باز کردن چنین فایلی ممکن است کدهای مخرب ایجاد کند.
این مشکل توسط محققان Trend Micro's Zero-Day Initiative در ژوئن 2024 شناسایی و در نسخه 7-Zip 24.07 برطرف شد. در حال حاضر نسخه به روز شده 24.08 موجود است که می توانید آن را از وب سایت رسمی برنامه دانلود کنید. به کاربران توصیه می شود که آخرین نسخه را نصب کنند یا اگر استفاده از 7-Zip ضروری نیست، برنامه را حذف نصب کنند، زیرا نسخه های مدرن Windows File Explorer به طور پیش فرض از فایل های 7-Zip پشتیبانی می کنند.
پاسخ با نقل قول
