В популярном архиваторе 7-Zip нашли опасную лазейку для вирусов — обновиться придётся вручную

[душман]

В архиваторе 7-Zip для Windows обнаружили уязвимость, позволяющую злоумышленникам выполнять вредоносный код при открытии специально подготовленного файла или посещении вредоносной веб-страницы. Исправление уже вошло в обновление, однако пользователям необходимо установить его вручную, сообщает PCMag. Согласно предупреждению, проблема была обнаружена исследователем Лэндоном Пэном, а сведения о ней впервые раскрыла платформа Zero Day Initiative. 

Подробности эксплуатации пока не публикуются из-за соображений безопасности, однако известно, что уязвимость связана с обработкой непосредственно самой программой 7-Zip данных, сжатых в формате XZ: при обработке специально сформированного содержимого возникает переполнение буфера, позволяющее выполнять произвольный код в контексте текущего процесса. Для того, чтобы уязвимость сработала требуется участие пользователя: жертва должна посетить подготовленную злоумышленниками веб-страницу или открыть вредоносный файл. 

Поскольку 7-Zip широко используется для работы с архивами, атакующие потенциально могут распространять заражённые XZ-файлы на большом количестве компьютеров. Напомним, эта бесплатная программа существует с 1999 года, и её скачали, предположительно, десятки миллионов пользователей. Уязвимость была устранена в версии 26.02, выпущенной 25 июня. При этом 7-Zip не поддерживает автоматическое обновление, поэтому пользователям необходимо самостоятельно загрузить и установить актуальную версию. Аналогичная ситуация ранее наблюдалась с архиватором WinRAR, отсутствие автообновления в котором также позволяло киберпреступникам продолжать атаки на пользователей, не установивших исправления.