O conhecido software de descompressão de código aberto 7-Zip foi recentemente exposto por ter uma vulnerabilidade de segurança de alto risco. Um invasor pode executar remotamente código malicioso no sistema da vítima simplesmente induzindo os usuários a abrir um arquivo compactado malicioso cuidadosamente construído. Como o 7-Zip não possui um mecanismo de atualização automática há muito tempo, os usuários e administradores de sistema devem baixar e instalar manualmente a versão mais recente para corrigir esta vulnerabilidade.
De acordo com informações divulgadas pelo “Zero-Day Project” da agência de segurança Trend Micro, a vulnerabilidade foi rastreada como CVE-2026-14266 e é essencialmente uma vulnerabilidade de buffer overflow baseada em heap. Quando o software está processando um fluxo de dados compactado XZ específico, se encontrar um pacote compactado especialmente forjado, causará um estouro, abrindo assim um canal para o invasor executar código arbitrário. A vítima só precisa visitar a página da web que contém a ameaça ou abrir o arquivo em questão, e o código relevante obterá diretamente as mesmas permissões que o usuário conectado no momento e será executado.
A vulnerabilidade foi originalmente relatada à equipe de desenvolvimento do 7-Zip no início de junho deste ano pelo pesquisador da Lunbun, Landon Peng. Com os esforços de todas as partes, a equipe 7-Zip lançou rapidamente a versão 26.02 em poucas semanas para preencher a lacuna de segurança. No entanto, os detalhes técnicos específicos da vulnerabilidade não eram amplamente conhecidos até recentemente, quando a ZDI divulgou publicamente um boletim de segurança. Dado que o 7-Zip é amplamente multiplataforma e funciona em vários sistemas operacionais, como Windows, Linux, macOS e BSD, o impacto desta vulnerabilidade não se limita ao grupo tradicional de usuários do Windows.
Como uma ferramenta popular de arquivamento leve, o 7-Zip não possui infraestrutura de atualização automática integrada para manter extrema simplicidade. O formato .xz que ele suporta é em si um contêiner para fluxos compactados, desenvolvido a partir do algoritmo de compactação LZMA criado anteriormente pelo desenvolvedor 7-Zip Igor Pavlov. Como este software tem sido amplamente utilizado tanto no consumidor quanto no servidor, muitos sistemas e ferramentas de linha de comando dependem dele para fornecer suporte gratuito à descompressão multiformato. Essa alta popularidade também o tornou um alvo importante para cibercriminosos e pesquisadores de segurança. Os especialistas em segurança lembram que, para essas ferramentas importantes que não possuem funções de atualização automática, os usuários devem se lembrar de permanecer altamente vigilantes e acompanhar manualmente as atualizações de versão em tempo hábil para evitar que uma única vulnerabilidade não corrigida evolua para um incidente de segurança do sistema em larga escala.
saber mais:
https://www.zerodayinitiative.com/advisories/ZDI-26-444/