cesarbtakeda/7-zip-cve-2025-0411-poc
Diese Schwachstelle (CVSS-Score: 7.0) ermöglicht es entfernten Angreifern, den Mark-of-the-Web-Schutzmechanismus auf betroffenen Installationen von 7-Zip zu umgehen. Für die Ausnutzung dieser Schwachstelle ist eine Benutzerinteraktion erforderlich, da das Ziel eine schädliche Seite besuchen oder eine schädliche Datei öffnen muss. Der spezifische Fehler liegt in der Verarbeitung von Archivdateien. Beim Extrahieren von Dateien aus einem manipulierten Archiv, das das Mark-of-the-Web trägt, überträgt 7-Zip das Mark-of-the-Web nicht auf die extrahierten Dateien. Ein Angreifer kann diese Schwachstelle ausnutzen, um beliebigen Code im Kontext des aktuellen Benutzers auszuführen.
Im Rahmen des POC wird ein einfacher Loader von calc.exe implementiert.
Die Methodik besteht darin, die ausführbare Datei doppelt zu komprimieren, was die Schwachstelle auslöst.
Anschließend wird die doppelt komprimierte 7Zip-Datei auf einen Payload-Lieferserver (in diesem Szenario MediaFire) hochgeladen und an das Opfer übermittelt, z. B. über Phishing-E-Mails, die die bösartige URL bereitstellen. Nach dem Herunterladen der Datei ist das „MotW" (Zone.Identifier – die Herkunft des Downloads) sichtbar:
Im Rahmen der Ausführung muss das Opfer durch die komprimierten Dateien klicken und die ausführbare Datei ausführen.
In diesem Szenario wird die 7Zip-Version 24.09 (gepatcht) verwendet, die die Windows-SmartScreen-Warnung anzeigt, dass diese Datei aus einer nicht vertrauenswürdigen Quelle stammt (da sie das MotW enthält).
In diesem Szenario wird die 7Zip-Version 24.07 (verwundbar) verwendet, die die direkte Ausführung der ausführbaren Datei ermöglicht, ohne Warnungen anzuzeigen (da sie das MotW nicht enthält).
