cesarbtakeda/7-zip-cve-2025-0411-poc
"Esta vulnerabilidade (CVSS SCORE 7.0) permite que atacantes remotos contornem o mecanismo de proteção Mark-of-the-Web em instalações afetadas do 7-Zip. É necessária interação do usuário para explorar esta vulnerabilidade, pois o alvo deve visitar uma página maliciosa ou abrir um arquivo malicioso. A falha específica existe no manuseio de arquivos compactados. Ao extrair arquivos de um arquivo compactado criado para esse fim que contenha a marca Mark-of-the-Web, o 7-Zip não propaga a Mark-of-the-Web para os arquivos extraídos. Um atacante pode aproveitar esta vulnerabilidade para executar código arbitrário no contexto do usuário atual."
Como parte da POC, um simples loader de calc.exe é implementado.
A metodologia consiste em comprimir duas vezes o executável, o que aciona a vulnerabilidade.
Em seguida, o arquivo 7Zip duplamente comprimido é enviado para um servidor de entrega de payload (neste cenário, MediaFire) e entregue à vítima, ou seja, por meio de e-mails de phishing que servem a URL maliciosa. Ao baixar o arquivo, o "MotW" (Zone.Identifier - A origem do download) pode ser visto:
Como parte da execução, a vítima precisa navegar pelos arquivos comprimidos e executar o executável.
Neste cenário, a versão 24.09 do 7Zip (corrigida) é usada, que exibe o aviso do Windows SmartScreen de que este arquivo vem de uma fonte não confiável (já que contém o MotW).
Neste cenário, a versão 24.07 do 7Zip (vulnerável) é usada, que permite a execução direta do executável sem exibir nenhum aviso (já que não contém o MotW).
