sentinelblue/cve-2022-29072
** CONTESTATO ** 7-Zip fino alla 21.07 su Windows consente l'escalation dei privilegi e l'esecuzione di comandi quando un file con estensione .7z viene trascinato nell'area Help>Contents. Ciò è causato da una errata configurazione di 7z.dll e da un overflow dell'heap. Il comando viene eseguito in un processo figlio del processo 7zFM.exe. NOTA: diverse terze parti hanno segnalato che non può verificarsi alcuna escalation dei privilegi.
7-Zip fino alla versione 21.07 su Windows consente l'escalation dei privilegi e l'esecuzione di comandi quando un file con estensione .7z viene trascinato nell'area Help>Contents.
C'è una notevole incertezza a livello pubblico riguardo a questa CVE. La pagina NIST dei dettagli della vulnerabilità ha assegnato a questa CVE lo stato di "in attesa di analisi".
La mitigazione di questa vulnerabilità "potenziale" richiede la rimozione del file della guida di 7-Zip ("7-zip.chm") dalla directory di installazione di 7-Zip. Se in questo caso preferiamo peccare di prudenza, nel peggiore dei casi il file verrà rimosso, i pochi utenti che utilizzano il file della guida non potranno più farlo e il file della guida verrà reinstallato al successivo ciclo di aggiornamento dell'applicazione.
** CONTESTATA ** 7-Zip fino alla versione 21.07 su Windows consente l'escalation dei privilegi e l'esecuzione di comandi quando un file con estensione .7z viene trascinato nell'area Help>Contents. Ciò è causato da una configurazione errata di 7z.dll e da un heap overflow. Il comando viene eseguito in un processo figlio all'interno del processo 7zFM.exe. NOTA: diverse terze parti hanno segnalato che non può verificarsi alcuna escalation dei privilegi.
Mentre il POC per l'escalation dei privilegi presso il repository GitHub di seguito non è stato rilasciato (fortunatamente; e sembra che l'autore non sia intenzionato a rilasciarlo per ragioni che sono sue). Ti consigliamo di applicare la mitigazione attualmente raccomandata, che consiste nel rimuovere nel frattempo il file “7zip.chm” (file della guida HTML compresso) dalla directory di installazione.
Inoltre, utilizza il tuo SIEM (Microsoft Sentinel) per configurare avvisi sulle interazioni tra il file “7zip.chm” e altre utility come “cmd.exe”, “powershell.exe” o “pwsh.exe”, in modo da essere avvisato di qualsiasi attività. Abbiamo scelto di replicare la sigma rule dell'autore della CVE per generare avvisi tramite Sentinel.
Visita le directory "scripts" e "Microsoft Sentinel" per ulteriori informazioni.
