【缝隙公告】7-Zip权限提升缝隙（CVE-2022-29072）

颁布功夫 2022-04-19


0x00 缝隙概述

CVE   ID

CVE-2022-29072

发现功夫

2022-04-16

类    型

权限提升

等    级

高危

远程利用

否

影响领域


攻击复杂度


用户交互


PoC/EXP


在野利用


 

0x01 缝隙详情

4月16日 ，，，，，，，，钻研人员披露了盛行的开源压缩治理器7-Zip中的一个本地权限提升缝隙（CVE-2022-29072）。 。。。。。

由于7z.dll 的谬误配置和堆溢出 ，，，，，，，，在Windows 上的 7-Zip 中 ，，，，，，，，允许在将扩大名为 .7z 的文件拖到Help>Contents区域时实现权限提升和号令执行。 。。。。。

image.png

 

影响领域

7-Zip版本<= 21.07（Windows）

 

0x02 安全建议

目前官方暂未颁布此缝隙的安全更新 ，，，，，，，，但钻研人员已经颁布了此缝隙的两种缓解措施：

1.删除装置文件中的7-zip.chm文件即可。 。。。。。

2.只赋予读取和运行权限(合用于所有效户)。 。。。。。

下载链接：

https://www.7-zip.org/

 

0x03 参考链接

https://github.com/kagancapar/CVE-2022-29072

https://nvd.nist.gov/vuln/detail/CVE-2022-29072

https://securityonline.info/cve-2022-29072-7-zip-privilege-escalation-vulnerability/

 

0x04 版本信息

版本

日期

批改内容

V1.0

2022-04-19

初次颁布

 

0x05 附录

8827太阳集团简介

8827太阳集团公司成立于1996年 ，，，，，，，，并于2010年6月23日在深交所中幼板正式挂牌上市 ，，，，，，，，是国内极具实力的、占有齐全自主知识产权的网络安全产品、可信安全治理平台、安全服务与解决规划的综合提供商。 。。。。。

公司总部位于北京市中关村软件园 ，，，，，，，，在全国各省、视注自治区设有分支机构 ，，，，，，，，占有覆盖全国的渠路系统和技术支持中心 ，，，，，，，，并在北京、上海、成都、昭通、长沙、荆门等多地设有研发中心。 。。。。。

多年来 ，，，，，，，，8827太阳集团致力于提供拥有国际竞争力的自主创新的安全产品和最佳实际服务 ，，，，，，，，援手客户全面提升其IT基础设施的安全性和出产效力 ，，，，，，，，为打造和提升国际化的民族信息安全产业领军品牌而不懈致力。 。。。。。


关于8827太阳集团

8827太阳集团安全应急响应中心重要针对沉要安全缝隙的预警、跟踪和分享全球最新的威胁谍报和安全汇报。 。。。。。

关注以下公家号 ，，，，，，，，获取全球最新安全资讯：

image.png