近日，主流文件壓縮工具7-Zip被曝存在一個嚴重的安全漏洞，允許遠程攻擊者通過精心制作的存檔執行惡意代碼。該漏洞編號為CVE-2024-11477，CVSS評分7.8分，表明受影響版本的用戶面臨重大安全風險。

漏洞存在于 Zstandard 解壓縮的實現中。此問題是由于未正確驗證用戶提供的數據而導致的，這可能導致在寫入內存之前出現整數下溢。攻擊者可以利用此漏洞在當前進程的上下文中執行代碼，但要利用此漏洞，需要與此庫交互，但攻擊媒介可能因實施而異。

根據趨勢科技安全研究部的Nicholas Zubrisky的說法，攻擊者可以通過說服用戶打開精心準備的存檔來利用此漏洞，這些存檔可以通過電子郵件附件或共享文件分發。

Zstandard格式在Linux環境中尤為普遍，通常用于各種文件系統，包括Btrfs、SquashFS和OpenZFS。

漏洞影響

• 在受影響的系統上執行任意代碼
• 獲得與登錄用戶相同的訪問權限
• 可能實現完全的系統繞過

緩解措施和修復

7-Zip已在24.07版本中解決了此安全問題。由于該軟件缺乏集成的更新機制，用戶必須手動下載并安裝最新版本以保護其系統，官網地址：https://www.7-zip.org/

在企業環境中使用7-Zip的IT管理員和軟件開發者應立即將其安裝更新為已修補的版本。需要注意的是，由于7-Zip釣魚郵件和帶病毒的假冒產品非常多，在搜索引擎中搜索下載時請注意甄別。

該漏洞最初于2024年6月，安全研究人員向7-Zip報告了該漏洞，并于11月20日公開披露。盡管目前沒有已知的惡意軟件針對此漏洞。，但安全專家強烈建議用戶及時修補，因為利用該漏洞所需的技術專業知識最少，

這一事件突顯了應用程序安全中輸入驗證的關鍵重要性，特別是在處理可能不受信任的數據時，使用7-Zip或包含其功能的產品組織和個體應優先更新到最新版本以維護系統安全。

參考來源：https://cybersecuritynews.com/7-zip-vulnerability-arbitrary-code/