Μια σοβαρή ευπάθεια ανακαλύφθηκε στο 7-Zip, το δημοφιλές εργαλείο συμπίεσης αρχείων, που επιτρέπει σε απομακρυσμένους hackers να εκτελούν κακόβουλο κώδικα μέσω ειδικά κατασκευασμένων αρχείων.
Η ευπάθεια, γνωστή ως CVE-2024-11477, έχει βαθμολογηθεί με υψηλό σκορ CVSS 7.8, υποδεικνύοντας σημαντικούς κινδύνους ασφαλείας για τους χρήστες των επηρεαζόμενων εκδόσεων. Το πρόβλημα εντοπίζεται στην υλοποίηση αποσυμπίεσης Zstandard, όπου η ανεπαρκής επικύρωση των δεδομένων χρήστη μπορεί να οδηγήσει σε υποροή ακεραίων πριν από την εγγραφή στη μνήμη.
Διαβάστε επίσης: Η Zimbra διορθώνει σοβαρή zero-day ευπάθεια
Αυτή η ευπάθεια επιτρέπει στους hackers να εκτελούν αυθαίρετο κώδικα στο πλαίσιο της τρέχουσας διαδικασίας όταν οι χρήστες αλληλεπιδρούν με κακόβουλα αρχεία. Σύμφωνα με τον Nicholas Zubrisky από την Trend Micro Security Research, οι hackers μπορούν να εκμεταλλευτούν αυτήν την ευπάθεια πείθοντας τους χρήστες να ανοίξουν ειδικά διαμορφωμένα αρχεία, τα οποία θα μπορούσαν να διανεμηθούν μέσω συνημμένων email ή κοινών αρχείων.
Αποκαλύψεις για τον Μεγαλύτερο Κρατήρα του Φεγγαριού
Η μορφή Zstandard, ιδιαίτερα διαδεδομένη σε περιβάλλοντα Linux, χρησιμοποιείται ευρέως σε συστήματα αρχείων όπως τα Btrfs, SquashFS και OpenZFS. Η ευπάθεια ενέχει σημαντικούς κινδύνους, επιτρέποντας στους επιτιθέμενους να εκτελούν αυθαίρετο κώδικα, αποκτώντας τα ίδια δικαιώματα πρόσβασης με τους χρήστες και δυνητικά καταλήγοντας σε πλήρη παραβίαση του συστήματος.
Δείτε ακόμη: Microsoft Patch Tuesday Ιουνίου 2024: Διορθώνει 51 ευπάθειες
Ο 7-Zip αντιμετώπισε αυτό το ζήτημα ασφαλείας στην έκδοση 24.07. Δεδομένου ότι το λογισμικό δεν διαθέτει ενσωματωμένο μηχανισμό ενημέρωσης, οι χρήστες πρέπει να κατεβάσουν και να εγκαταστήσουν χειροκίνητα την τελευταία έκδοση για να διασφαλίσουν την προστασία των συστημάτων τους. Οι διαχειριστές IT και οι προγραμματιστές που ενσωματώνουν το 7-Zip στα προϊόντα τους πρέπει να ενημερώσουν άμεσα τις εγκαταστάσεις τους στην επιδιορθωμένη έκδοση. Οι ειδικοί ασφαλείας τονίζουν τη σημασία της άμεσης εφαρμογής των επιδιορθώσεων.
Πηγή: cybersecuritynews
