sentinelblue/cve-2022-29072** UMSTRITTEN ** 7-Zip bis 21.07 unter Windows ermöglicht eine Privilegienausweitung und Befehlsausführung, wenn eine Datei mit der Erweiterung .7z in den Bereich Hilfe>Inhalt gezogen wird. Dies wird durch eine Fehlkonfiguration von 7z.dll und einen Heap-Überlauf verursacht. Der Befehl läuft in einem untergeordneten Prozess des 7zFM.exe-Prozesses. HINWEIS: Mehrere Dritte haben berichtet, dass keine Privilegienausweitung auftreten kann.
7-Zip bis einschließlich 21.07 unter Windows ermöglicht eine Privilegienausweitung und die Ausführung von Befehlen, wenn eine Datei mit der Erweiterung .7z in den Bereich Help>Contents gezogen wird.
Es gibt in der Öffentlichkeit eine gewisse Unsicherheit in Bezug auf diese CVE. Die NIST-Schwachstellendetails haben für diese CVE den Status „Analyse ausstehend“ vergeben.
Die Gegenmaßnahme für diese „potenzielle“ Schwachstelle erfordert das Entfernen der 7-Zip-Hilfedatei („7-zip.chm“) aus dem Installationsverzeichnis von 7-Zip. Wenn wir uns hier im Zweifel für Vorsicht entscheiden, wird die Datei im schlimmsten Fall entfernt, die wenigen Benutzer, die die Hilfedatei verwenden, können dies nicht mehr tun, und die Hilfedatei wird im nächsten Anwendungsupdate-Zyklus neu installiert.
** BESTRITTEN ** 7-Zip bis einschließlich 21.07 unter Windows ermöglicht eine Privilegienausweitung und die Ausführung von Befehlen, wenn eine Datei mit der Erweiterung .7z in den Bereich Help>Contents gezogen wird. Dies wird durch eine Fehlkonfiguration von 7z.dll und einen Heap-Überlauf verursacht. Der Befehl läuft in einem untergeordneten Prozess unter dem Prozess 7zFM.exe, HINWEIS: Mehrere Dritte haben berichtet, dass keine Privilegienausweitung auftreten kann.
Während der POC zur Privilegienausweitung im untenstehenden GitHub-Repository nicht veröffentlicht wurde (glücklicherweise; und es scheint, dass der Autor aus eigenen Gründen nicht daran interessiert ist, ihn zu veröffentlichen). Wir empfehlen, die derzeit empfohlene Gegenmaßnahme durchzuführen, die darin besteht, die Datei „7zip.chm“ (komprimierte HTML-Hilfe datei) vorerst aus dem Installationsverzeichnis zu entfernen.
Nutzen Sie außerdem Ihr SIEM (Microsoft Sentinel), um Warnungen für Interaktionen zwischen der Datei „7zip.chm“ und anderen Hilfsprogrammen wie „cmd.exe“, „powershell.exe“ oder „pwsh.exe“ einzurichten und über jegliche Aktivität benachrichtigt zu werden. Wir haben uns dafür entschieden, die Sigma-Regel des CVE-Autors nachzubilden, um Warnungen über Sentinel zu generieren.
Besuchen Sie für weitere Informationen die Verzeichnisse „scripts“ und „Microsoft Sentinel“.
