Κρίσιμο κενό ασφαλείας στο 7-Zip διορθώνεται στην έκδοση 26.02

Σύμφωνα με το Guru3D, ερευνητές ασφαλείας εντόπισαν νέα ευπάθεια στο 7-Zip, ένα από τα πιο διαδεδομένα εργαλεία συμπίεσης αρχείων σε συστήματα Windows. Το κενό χαρακτηρίζεται ως υψηλής σοβαρότητας και επιτρέπει απομακρυσμένη εκτέλεση κώδικα (remote code execution), με τους ειδικούς να συνιστούν άμεση αναβάθμιση σε όλους τους χρήστες.

Το πρόβλημα εντοπίζεται στον τρόπο επεξεργασίας αρχείων συμπίεσης από το πρόγραμμα. Ένα ειδικά διαμορφωμένο αρχείο αρκεί από μόνο του για να ενεργοποιήσει την ευπάθεια, χωρίς να χρειάζεται ο χρήστης να εξάγει το περιεχόμενό του. Αυτό σημαίνει ότι το απλό άνοιγμα ενός κακόβουλου αρχείου μέσω του 7-Zip μπορεί να είναι αρκετό για να θέσει σε κίνδυνο το σύστημα.

Πώς λειτουργεί η επίθεση

Σύμφωνα με τις διαθέσιμες πληροφορίες ασφαλείας που παραθέτει το Guru3D, οι επιτιθέμενοι μπορούν να εκμεταλλευτούν αδυναμίες στην ανάλυση αρχείων συμπίεσης διανέμοντας ειδικά κατασκευασμένα πακέτα, μεταμφιεσμένα σε νόμιμα προγράμματα λήψης, πακέτα λογισμικού ή κοινόχρηστα έγγραφα. Όταν ένα τέτοιο αρχείο υποστεί επεξεργασία από ευάλωτη έκδοση του 7-Zip, μπορεί να προκαλέσει καταστροφή μνήμης (memory corruption) και εν δυνάμει να εκτελέσει κώδικα υπό τον έλεγχο του επιτιθέμενου, με τα δικαιώματα του τρέχοντος χρήστη.

Όπως συμβαίνει με τις περισσότερες επιθέσεις που στοχεύουν την πλευρά του χρήστη (client-side), απαιτείται κάποιου βαθμού αλληλεπίδραση από τον ίδιο· τα μηνύματα ηλεκτρονικού «ψαρέματος» (phishing) και τα κακόβουλα αρχεία λήψης θεωρούνται οι πιθανότεροι τρόποι διανομής.

Ποιοι επηρεάζονται

Το εύρος επίπτωσης ξεπερνά τις αυτόνομες εγκαταστάσεις σε προσωπικούς υπολογιστές. Το 7-Zip ενσωματώνεται συχνά σε εφαρμογές δημιουργίας αντιγράφων ασφαλείας, προγράμματα antivirus, εργαλεία διανομής λογισμικού και περιβάλλοντα αυτοματισμού, με αποτέλεσμα ο αριθμός των δυνητικά ευάλωτων συστημάτων να είναι σημαντικά μεγαλύτερος από όσα φαίνονται σε πρώτη ανάγνωση.

Η ευπάθεια αφορά όλες τις εκδόσεις πριν την 7-Zip 26.02, η οποία περιλαμβάνει τη διόρθωση και αποτελεί προς το παρόν τη συνιστώμενη αναβάθμιση για όλους τους χρήστες.

Προηγούμενα προβλήματα και δυσκολία ενημέρωσης

Η νέα ευπάθεια ακολουθεί σειρά διορθώσεων που είχαν γίνει νωρίτερα φέτος με την έκδοση 26.01. Εκείνες οι διορθώσεις αφορούσαν πολλαπλά προβλήματα στην ανάλυση αρχείων UEFI capsule, εικόνων WIM, δίσκων UDF και αρχείων Unix ar. Αρκετά από αυτά τα προβλήματα οδηγούσαν κυρίως σε διαρροή πληροφοριών ή άρνηση υπηρεσίας (denial-of-service), ενώ το νέο κενό θεωρείται πιο σοβαρό επειδή επιτρέπει πλήρη εκτέλεση κώδικα.

Μία επιπλέον δυσκολία για διαχειριστές συστημάτων είναι ότι το 7-Zip δεν διαθέτει ενσωματωμένο μηχανισμό αυτόματης ενημέρωσης. Παλαιότερες εκδόσεις παραμένουν συχνά εγκατεστημένες για μεγάλα χρονικά διαστήματα, ιδίως σε φορητές (portable) εκδόσεις ή σε αντίγραφα που συνοδεύουν λογισμικό τρίτων κατασκευαστών. Για τον λόγο αυτό, οι οργανισμοί καλούνται να ελέγξουν όχι μόνο τις αυτόνομες εγκαταστάσεις αλλά και τις εφαρμογές που ενσωματώνουν βιβλιοθήκες 7-Zip.

Οι χρήστες συνιστάται να εγκαταστήσουν την έκδοση 26.02 το συντομότερο δυνατό και να αποφεύγουν το άνοιγμα αρχείων συμπίεσης από άγνωστες ή μη έμπιστες πηγές, μέχρι να ολοκληρωθεί η ενημέρωση όλων των επηρεαζόμενων συστημάτων.

Πηγές

• Guru3D: Critical 7-Zip Vulnerability Fixed in Version 26.02 found