Популярний Windows-додаток виявився дуже небезпечним

Популярний безкоштовний архіватор 7-Zip виявився небезпечним – у його коді виявлено вразливість, що загрожує комп’ютеру. Про це написали кілька російських ЗМІ, зокрема, OpenNet.ru.

7-Zip – невелика утиліта для Windows, яка дозволяє працювати з архівами, при цьому не вимагаючи грошей або тривалої установки та налаштування. Програма повністю безкоштовна і користується заслуженою популярністю серед користувачів ПК.

Згідно з джерелом, у 7-Zip версії 21 і новіше виявлено вразливість нульового дня, яка отримала номер CVE-2022-29072. Її експлуатація дозволяє локальному користувачеві з обмеженими правами отримати повний доступ до комп’ютера, тобто підвищити рівень своїх привілеїв до максимального. В результаті людина, яка опинилася за нашим комп’ютером, може зробити все, що захоче, у тому числі і серйозно нашкодити вам.

Щоб провернути таку схему, потрібно з певною послідовністю перемістити спеціальний файл із розширенням .7z усередину утиліти. При цьому виникає помилка бібліотеки 7z.dll і буфер переповнюється.

На даний момент розробники 7-Zip не визнали помилку – вони стверджують, що проблема криється не в їхньому продукті, а в самій Windows. На думку, насправді переповнення буфера викликає помилка у роботі hh.exe (Microsoft HTML Helper). Експерти не заперечують причетності hh.exe до проблеми, але вважають, що цей процес винний лише частково.

У будь-якому випадку проблема поки що не виправлена ​​і вразливість CVE-2022-29072 все ще загрожує користувачам 7-Zip. Щоб убезпечити себе, рекомендується або видалити файл допомоги 7-zip.chm і обмежити права користувачів утиліти, або видалити її і почекати, поки «дірка» буде закрита.