【漏洞预警】7-zip命令执行

admin 2022年5月4日22:43:04评论76 views字数 414阅读1分22秒阅读模式
【漏洞预警】7-zip命令执行

漏洞名称:7-Zip 命令执行

影响范围:v21.07

漏洞编号:CVE-2022-29072

漏洞类型:命令执行或提升权限

利用条件:

综合评价:

<利用难度>:低

<威胁等级>:高危 能获取服务器权限

#1 漏洞描述

Windows平台 7-Zip(v21.07) 允许将扩展名为 .7z 的文件被拖到HELP>contents时,可造成权限提升和命令执行。
7-zip 软件中包含的零日漏洞是基于 7z.dll 的错误配置和堆溢出。7-zip软件安装后,HELP>contents内容中的帮助文件通过Windows HTML Helper文件工作,但是命令注入后,7zFM.exe进程下出现了一个子进程。

#2 解决方案

第一种方法:如果 7-zip 没有更新,删除 7-zip.chm 文件就足以关闭漏洞。

第二种方法:7-zip 程序应该只有读取和运行权限。(适用于所有用户)。

#3 参考资料

https://github.com/kagancapar/CVE-2022-29072
【漏洞预警】7-zip命令执行
推 荐 阅 读

【漏洞预警】 S2-062 Struts2 OGNL表达式注入漏洞

【漏洞预警】Spring框架远程命令执行漏洞

【漏洞预警】7-zip命令执行

原文始发于微信公众号(锦行信息安全):【漏洞预警】7-zip命令执行

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年5月4日22:43:04
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   【漏洞预警】7-zip命令执行https://cn-sec.com/archives/926978.html

发表评论

匿名网友 填写信息