sentinelblue/cve-2022-29072** DISPUTED ** Windows의 7-Zip 21.07 이하 버전은 .7z 확장자를 가진 파일을 Help>Contents 영역으로 끌어다 놓을 때 권한 상승 및 명령 실행을 허용합니다. 이는 7z.dll의 잘못된 구성과 힙 오버플로우로 인해 발생합니다. 명령은 7zFM.exe 프로세스 아래의 자식 프로세스에서 실행됩니다. 참고: 여러 제3자가 권한 상승은 발생할 수 없다고 보고했습니다.
Windows에서 7-Zip 21.07 이하 버전은 .7z 확장자를 가진 파일을 Help>Contents 영역으로 끌어다 놓으면 권한 상승 및 명령 실행을 허용합니다.
이 CVE에 관해서는 대중들 사이에 상당한 불확실성이 있습니다. NIST 취약점 세부 정보에는 이 CVE에 대해 "분석 대기 중" 상태가 지정되어 있습니다.
이 "잠재적" 취약점의 완화 조치로는 7-Zip 설치 디렉터리에서 7-Zip 도움말 파일("7-zip.chm")을 제거하는 것이 있습니다. 여기서 보수적으로 접근할 경우, 최악의 경우에도 파일이 제거되어 도움말 파일을 사용하던 소수의 사용자가 이를 사용할 수 없게 될 뿐이며, 도움말 파일은 다음 애플리케이션 업데이트 주기에 다시 설치될 것입니다.
** DISPUTED ** Windows에서 7-Zip 21.07 이하 버전은 .7z 확장자를 가진 파일을 Help>Contents 영역으로 끌어다 놓으면 권한 상승 및 명령 실행을 허용합니다. 이는 7z.dll의 잘못된 구성과 힙 오버플로로 인해 발생합니다. 명령은 7zFM.exe 프로세스의 하위 프로세스에서 실행됩니다. 참고: 여러 제3자가 권한 상승이 발생할 수 없다고 보고했습니다.
아래 GitHub 저장소의 권한 상승 POC는 아직 공개되지 않았습니다(다행스럽게도, 작성자는 자신만의 이유로 공개를 꺼리는 것으로 보입니다). 현재 권장되는 완화 조치, 즉 그동안 설치 디렉터리에서 "7zip.chm"(압축 HTML 도움말 파일)을 제거하는 것을 수행하시기를 권장합니다.
또한 SIEM(Microsoft Sentinel)을 활용하여 "7zip.chm" 파일과 "cmd.exe", "powershell.exe" 또는 "pwsh.exe" 같은 기타 유틸리티 간의 상호 작용에 대한 알림을 설정하여 모든 활동에 대해 경고를 받으십시오. 우리는 CVE 작성자의 시그마 규칙을 복제하여 Sentinel을 통해 알림을 생성하기로 선택했습니다.
자세한 내용은 "scripts" 및 "Microsoft Sentinel" 디렉터리를 방문하십시오.
