Une vulnérabilité a été découverte dans 7-zip, le programme d’archivage populaire. Il s’agit d’une vulnérabilité active de type « zero-day » caractérisée par l’élévation des privilèges et l’exécution de commandes. En d’autres termes, une personne ayant un accès limité à votre ordinateur pourrait obtenir un contrôle de niveau supérieur, généralement un accès administrateur, pour exécuter des commandes ou des applications. L’utilisateur de GitHub, Kagancapar, semble avoir découvert cette vulnérabilité Windows 7-zip, et elle porte la référence CVE-2022-29072.
7-zip est une application multiplateforme, mais cette vulnérabilité est liée à Windows, car elle repose sur l’interactivité de 7-zip avec l’application d’aide de Windows, hh.exe. Par exemple, le fichier readme GitHub pour CVE-2022029072 suppose que « Windows autorise l’élévation des privilèges et l’exécution de commandes lorsqu’un fichier avec l’extension .7z est déplacé vers la zone Aide> Contenu ».
Le clip ci-dessus montre le découvreur de vulnérabilité déposant un fichier spécialement conçu avec une extension .7z (imitant l’extension de fichier 7-zip) sur la fenêtre d’aide 7-zip et exécutant une commande en mode administrateur. Cela ressemble à un moyen assez simple d’obtenir un accès de niveau supérieur à un système et d’exécuter des commandes et des applications qui pourraient autrement être interdites.
Kagancapar a fourni des informations de fond éclairantes sur la vulnérabilité et sa découverte. Tout d’abord, ils mentionnent que 7-zip n’est pas entièrement heureux d’assumer la responsabilité de cette vulnérabilité, car elle semble dépendre du système d’aide de Microsoft. Cependant, la suppression du fichier d’extension personnalisé .7z dans la fenêtre d’aide provoque un débordement de tas dans 7zFM.exe et une élévation des privilèges qui en résulte, ce qui signifie que les auteurs de 7-zip devraient accepter une partie du blâme.
Au moment d’écrire ces lignes, la version actuelle de 7-zip pour Windows, v21.07, n’est pas corrigée pour la vulnérabilité démontrée dans la vidéo. Si la vulnérabilité vous préoccupe, en ce qui concerne votre ordinateur personnel ou les systèmes que vous administrez, rassurez-vous grâce à deux façons simples d’atténuer le problème :
- Première méthode : si 7-zip ne se met pas à jour, la suppression du fichier 7-zip.chm suffira à fermer la vulnérabilité.
- Deuxième méthode : le programme 7-zip ne doit avoir que des autorisations de lecture et d’exécution. (Pour tous les utilisateurs)
7-zip a brisé l’hégémonie des agrafes de compression de shareware induisant la culpabilité WinZip et WinRAR dans les années 2000. Après quelques années de raffinement, il a reçu un Tom’s Hardware Elite Award pour la vitesse de compression, le rapport et la taille en 2013. En plus d’être totalement gratuit pour un usage personnel ou professionnel, 7-zip charms avec sa nature multiplateforme et sa portabilité .