CVE-2025-0411: 7-Zip MoTW बाईपास भेद्यता

परिचय

CVE-2025-0411 7-Zip में एक दोष है जो विंडोज के Mark-of-the-Web (MoTW) को बायपास करता है, जिससे तैयार किए गए आर्काइव से दुर्भावनापूर्ण फ़ाइलें बिना चेतावनी के निष्पादित हो सकती हैं। SmokeLoader अभियानों में इसका शोषण किया गया, और 7-Zip में ऑटो-अपडेट की कमी के कारण यह जोखिम पैदा करता है।

MoTW क्या है?

MoTW एक Alternate Data Stream (ADS) के माध्यम से इंटरनेट से डाउनलोड की गई फ़ाइलों को असुरक्षित के रूप में चिह्नित करता है, जो चेतावनियाँ या Protected View को ट्रिगर करता है। यह केवल तभी प्रभावी होता है जब फ़ाइल हैंडलिंग के दौरान इसे संरक्षित रखा जाए।

तकनीकी विवरण

7-Zip नेस्टेड आर्काइव से निकाली गई फ़ाइलों में MoTW के Zone.Identifier ADS को प्रसारित करने में विफल रहता है, जिससे दुर्भावनापूर्ण सामग्री चुपचाप निष्पादित हो सकती है।

वास्तविक दुनिया में शोषण

• मैलवेयर: UAC-0006 से जुड़े SmokeLoader अभियान, छद्म फ़ाइलों के साथ यूक्रेन को लक्षित करते हैं।
• पिछले शोषण: CVE-2024-38213 और CVE-2024-21412 (DarkGate) के समान।

प्रतिकूल तकनीकें

• ऐसे गैर-NTFS कंटेनर (.iso, .vhd) का उपयोग करें जो MoTW नहीं ले जाते।
• MoTW को हटाने के लिए 7-Zip जैसे आर्काइविंग टूल का शोषण करें।
• JavaScript के माध्यम से MoTW को बायपास करने के लिए HTML स्मगलिंग।

रक्षात्मक उपाय

• सॉफ़्टवेयर अपडेट करें: 7-Zip को मैन्युअल रूप से पैच करें।
• समूह नीति: MoTW हैंडलिंग को लागू करें।
• खतरा संरक्षण: कंटेनर फ़ाइलों का निरीक्षण करें।
• उपयोगकर्ता प्रशिक्षण: अविश्वसनीय फ़ाइलों से बचें।

निष्कर्ष

CVE-2025-0411 MoTW बाईपास के खतरे को दर्शाता है। पैच उपलब्ध होने के बावजूद ऑटो-अपडेट न होने के कारण, जोखिम को कम करने के लिए सक्रिय अपडेट और जागरूकता महत्वपूर्ण हैं।