dhmosfunk/7-zip-cve-2025-0411-pocQuesto repository contiene scenari POC come parte del bypass CVE-2025-0411 MotW.
"Questa vulnerabilità (CVSS SCORE 7.0) consente a un attaccante remoto di aggirare il meccanismo di protezione Mark-of-the-Web sulle installazioni interessate di 7-Zip. È richiesta l'interazione dell'utente per sfruttare questa vulnerabilità, poiché la vittima deve visitare una pagina malevola o aprire un file malevolo. Il difetto specifico risiede nella gestione dei file archiviati. Quando estrae file da un archivio creato ad arte che presenta il Mark-of-the-Web, 7-Zip non propaga il Mark-of-the-Web ai file estratti. Un attaccante può sfruttare questa vulnerabilità per eseguire codice arbitrario nel contesto dell'utente corrente."
Come parte del POC è implementato un semplice loader di calc.exe.
La metodologia consiste nel comprimere doppiamente l'eseguibile, innescando la vulnerabilità.
Successivamente, il file 7Zip doppiamente compresso viene caricato su un server di consegna del payload (in questo scenario MediaFire) e consegnato alla vittima, ad esempio tramite email di phishing che servono l'URL malevolo. Al momento del download del file, si può vedere il "MotW" (Zone.Identifier - L'origine del download):
Come parte dell'esecuzione, la vittima deve fare clic attraverso i file compressi ed eseguire l'eseguibile.
In questo scenario viene utilizzata la versione 24.09 di 7Zip (patchata) che mostra l'avviso di Windows SmartScreen che questo file proviene da una fonte non attendibile (poiché contiene il MotW).
In questo scenario viene utilizzata la versione 24.07 di 7Zip (vulnerabile) che consente l'esecuzione diretta dell'eseguibile senza mostrare alcun avviso (poiché non contiene il MotW).
