7-Zip исправил критическую уязвимость RCE в обработке архивов XZ

Команда разработчиков 7-Zip выпустила обновление 26.02, закрывающее критическую уязвимость удалённого выполнения кода (CVE не указано). Проблема затрагивает механизм обработки данных в формате XZ и может приводить к переполнению буфера в памяти при декомпрессии специально подготовленных архивов.

Исследователь безопасности Landon Peng обнаружил, что злоумышленники могли использовать уязвимость для запуска произвольного кода на устройстве пользователя. Для этого жертве достаточно было открыть вредоносный архив или перейти по ссылке на поддельный сайт. В патче добавлены проверки, предотвращающие запись данных за пределы выделенного буфера.

7-Zip не поддерживает автоматическое обновление, поэтому пользователям необходимо вручную скачать и установить последнюю версию с официального сайта. Учитывая широкую распространённость архиватора, подобные уязвимости становятся привлекательной целью для киберпреступников. В прошлом аналогичные баги уже эксплуатировались в фишинговых кампаниях, в том числе российскими хакерскими группами.

Эксперты рекомендуют обновить 7-Zip как можно скорее, несмотря на отсутствие подтверждённых атак с использованием этой уязвимости. В зоне риска находятся все пользователи, работающие с архивами, особенно в корпоративной среде.