cesarbtakeda/7-zip-cve-2025-0411-pocExploit di prova di concetto per CVE-2025-0411, che dimostra il bypass del Mark-of-the-Web in 7-Zip per consentire l'esecuzione di codice arbitrario tramite archivi appositamente creati inviati tramite phishing.
"Questa vulnerabilità (Punteggio CVSS 7.0) consente a un utente malintenzionato remoto di bypassare il meccanismo di protezione Mark-of-the-Web nelle installazioni interessate di 7-Zip. È richiesta l'interazione dell'utente per sfruttare questa vulnerabilità, in quanto la vittima deve visitare una pagina dannosa o aprire un file dannoso. Il difetto specifico risiede nella gestione dei file archiviati. Durante l'estrazione di file da un archivio creato ad arte che porta il Mark-of-the-Web, 7-Zip non propaga il Mark-of-the-Web ai file estratti. Un utente malintenzionato può sfruttare questa vulnerabilità per eseguire codice arbitrario nel contesto dell'utente corrente."
Come parte della POC, viene implementato un semplice loader di calc.exe.
La metodologia consiste nel comprimere due volte l'eseguibile, il che innesca la vulnerabilità.
Successivamente, il file 7Zip doppiamente compresso viene caricato su un server di distribuzione del payload (in questo scenario MediaFire) e consegnato alla vittima, ad esempio tramite email di phishing contenenti l'URL malevolo. Una volta scaricato il file, è possibile vedere il "MotW" (Zone.Identifier - l'origine del download):
Come parte dell'esecuzione, la vittima deve navigare tra i file compressi ed eseguire l'eseguibile.
In questo scenario viene utilizzata la versione 24.09 di 7Zip (corretta) che mostra l'avviso di Windows SmartScreen che il file proviene da una fonte non attendibile (poiché contiene il MotW).
In questo scenario viene utilizzata la versione 24.07 di 7Zip (vulnerabile) che consente l'esecuzione diretta dell'eseguibile senza mostrare alcun avviso (poiché non contiene il MotW).
