חולשת אבטחה חמורה נמצאה בתוכנה נפוצה לדחיסת קבצים

This post is also available in: English (אנגלית)

חולשה חמורה התגלתה בתוכנה הפופולרית לדחיסת קבצים 7-Zip, דבר העלול לאפשר לתוקפים להריץ קוד זדוני על גבי מחשבים מושפעים. הפגם נחשף על ידי יוזמת Zero Day Initiative של Trend Micro (ZDI), יש לו דירוג חומרה של 7.8 מתוך 10 והוא משפיע על כל גרסאות 7-Zip לפני 24.07.

החולשה נובעת מפגם בתכונת חילוץ הקבצים Zstandard, אשר אינה מאמתת כראוי נתונים שסופקו על-ידי המשתמש. דבר זה מוביל לבעיית integer underflow לפני כתיבת לזיכרון, מה שיוצר הזדמנות לשחקנים זדוניים לנצל את הבאג ולהפעיל קוד שרירותי בהקשר של התהליך הנוכחי. הדבר עלול לאפשר לתוקפים לבצע פקודות מזיקות במערכת של הקורבן, דבר שעלול לפגוע במכונה.

הסיכון הוא משמעותי בשל הקלות שבה התוקפים יכולים לנצל את הפגם. למרות שהחולשה דורשת התערבות מצד המשתמש, בדרך כלל באמצעות פתיחת קובץ ארכיון שנפרץ, היא נותרת מקור לדאגה, במיוחד עבור משתמשים שעדיין לא עדכנו לגרסה העדכנית ביותר של 7-Zip.

הפגם דווח לראשונה על ידי חוקרי Trend Micro ב-12 ביוני 2024, ותוקן בעדכון 7-Zip 24.08. עם זאת, ליישום חסרה תכונת עדכון אוטומטי, כלומר על המשתמשים להתקין את העדכון באופן ידני. דבר זה משאיר מערכות רבות פרוצות, שכן גרסאות ישנות יותר של 7-Zip עדיין נמצאות בשימוש במגוון רחב של התקנים.

תוכנת 7-Zip, המשמשת בדרך כלל לדחיסת קבצים וחילוץ, זוכה לאמון נרחב הן בסביבות אישיות והן בסביבות ארגוניות. עם זאת, חולשה זו מדגישה את החשיבות של עדכון קבוע של תוכנות כדי לצמצם את סיכוני האבטחה. משתמשים מתבקשים לשדרג לגרסה 24.08 של 7-Zip בהקדם האפשרי כדי להגן מפני ניצול אפשרי.

כמו בכל חולשה אבטחה, יש לנקוט זהירות בעת טיפול בקבצים לא מוכרים או חשודים, במיוחד אלה המתקבלים בדואר אלקטרוני או ממקורות לא מהימנים.