sentinelblue/cve-2022-29072** DISPUTADO ** 7-Zip até 21.07 no Windows permite escalada de privilégio e execução de comandos quando um arquivo com a extensão .7z é arrastado para a área Help>Contents. Isso é causado por configuração incorreta de 7z.dll e um estouro de heap. O comando é executado em um processo filho sob o processo 7zFM.exe, NOTA: vários terceiros relataram que nenhuma escalada de privilégio pode ocorrer.
7-Zip até 21.07 no Windows permite escalonamento de privilégios e execução de comandos quando um arquivo com a extensão .7z é arrastado para a área Help>Conteúdo.
Há bastante incerteza em relação a este CVE no público. Os detalhes de vulnerabilidade do NIST colocaram um status de "aguardando análise" para este CVE.
A mitigação desta vulnerabilidade "potencial" exige a remoção do arquivo de ajuda do 7-Zip ("7-zip.chm") do diretório de instalação do 7-Zip. Se pecar pelo excesso de cautela aqui, na pior das hipóteses, o arquivo é removido, os poucos usuários que usam o arquivo de ajuda não poderão fazê-lo, e o arquivo de ajuda será reinstalado no próximo ciclo de atualização do aplicativo.
** DISPUTADO ** 7-Zip até 21.07 no Windows permite escalonamento de privilégios e execução de comandos quando um arquivo com a extensão .7z é arrastado para a área Help>Conteúdo. Isso é causado por má configuração do 7z.dll e um estouro de heap. O comando é executado em um processo filho sob o processo 7zFM.exe. NOTA: várias terceiras partes relataram que nenhum escalonamento de privilégios pode ocorrer.
Embora o POC para escalonamento de privilégios no repositório GitHub abaixo não tenha sido lançado (felizmente; e parece que o autor não está interessado em lançá-lo por razões que são próprias). Recomendamos que você realize a mitigação atual recomendada, que é remover o arquivo "7zip.chm" (arquivo de ajuda HTML compactado) do diretório de instalação enquanto isso.
Além disso, utilize seu SIEM (Microsoft Sentinel) para configurar alertas de interações entre o arquivo "7zip.chm" com outros utilitários como "cmd.exe", "powershell.exe" ou "pwsh.exe" para ser alertado de qualquer atividade. Optamos por replicar a regra sigma do autor do CVE para gerar alertas via Sentinel.
Visite os diretórios "scripts" e "Microsoft Sentinel" para mais informações.
