dhmosfunk/7-zip-cve-2025-0411-pocEste repositório contém cenários de POC como parte do bypass de CVE-2025-0411 MotW.
"Esta vulnerabilidade (pontuação CVSS 7.0) permite que atacantes remotos contornem o mecanismo de proteção Mark-of-the-Web em instalações afetadas do 7-Zip. É necessária interação do usuário para explorar esta vulnerabilidade, pois o alvo deve visitar uma página maliciosa ou abrir um arquivo malicioso. A falha específica existe no tratamento de arquivos compactados. Ao extrair arquivos de um arquivo compactado criado para esse fim que contenha o Mark-of-the-Web, o 7-Zip não propaga o Mark-of-the-Web para os arquivos extraídos. Um atacante pode aproveitar esta vulnerabilidade para executar código arbitrário no contexto do usuário atual."
Como parte da POC, um loader simples de calc.exe é implementado.
A metodologia consiste em compactar duas vezes o executável, o que aciona a vulnerabilidade.
Em seguida, o arquivo 7Zip duplamente compactado é enviado para um servidor de entrega de payload (neste cenário, o MediaFire) e entregue à vítima, ou seja, por meio de e-mails de phishing que servem a URL maliciosa. Ao baixar o arquivo, o "MotW" (Zone.Identifier - A origem do download) pode ser visto:
Como parte da execução, a vítima precisa navegar pelos arquivos compactados e executar o executável.
Neste cenário, a versão 24.09 do 7Zip (corrigida) é usada, que exibe o aviso do Windows SmartScreen de que este arquivo vem de uma fonte não confiável (já que contém o MotW).
Neste cenário, a versão 24.07 do 7Zip (vulnerável) é usada, que permite a execução direta do executável sem exibir nenhum aviso (já que não contém o MotW).
