Créditos: Reprodução/Bullfrag
- Publicidade -

7-Zip, famoso app de compactação de arquivos tem vulnerabilidade séria

Brecha no software permite a execução remota de códigos com privilégios de administrador
Por Felipe Gugelmin 18/04/2022 16:45 | atualizado 18/04/2022 16:45 Comentários Reportar erro

Um dos compactadores de arquivo mais famosos do mundo, o 7-zip carrega uma vulnerabilidade de dia 0 que pode garantir privilégios de administrador para um atacante. O que torna a ameaça especialmente grave não é somente o fato de ela estar sendo usada ativamente, mas também sua capacidade de permitir que uma pessoa execute remotamente códigos nas máquinas infectadas.

Embora o software de compactação esteja disponível para diversos sistemas, parece que o erro identificado como CVE-2022-29072 afeta somente usuários do Windows no momento. Responsável pela descoberta, o usuário do GitHub Kagancapar publicou em detalhes como a falha funciona e fez um vídeo demonstrando como ela pode ser explorada.

Segundo o investigador, os desenvolvedores do 7-Zip não são totalmente responsáveis pela falha, que pode ser atribuída à maneira como o sistema de ajuda do Windows funciona. Para que a brecha funcione, basta que um atacante crie um arquivo especial com a extensão .7z, que, ao ser arrastado sobre a tela de ajuda do programa, garante a possibilidade de executar códigos no sistema com privilégios de administrador.

Falha aumenta privilégios de sistema

Kangacapar explica que a responsabilidade dos criadores do 7-Zip surge quando, após o arquivo ser arrastado, o executável acaba ganhando diversos privilégios de acesso — o que não deveria acontecer. A falha afeta todas as versões do programa para Windows, incluindo a mais recente (21.97), que ainda não recebeu um patch de correção.

Para evitar que a brecha não seja usada, é possível deletar o arquivo 7-zip.chm na pasta de instalação do software ou restringir suas permissões de leitura e escrita para se proteger. Nesse último caso, é preciso que a configuração seja feita em todos os usuários que têm acesso à máquina para garantir sua proteção.

- Continua após a publicidade -

Enquanto os responsáveis pelo software ainda não se pronunciaram oficialmente sobre o assunto, o fato de a falha ter se tornado pública deve estimular o lançamento rápido de um patch. Lançado em 1999, o aplicativo surgiu como uma opção gratuita e mais rápida a alternativas famosas como o WinRAR e está disponível em 89 idiomas para Windows, BSD, MacOS, Linux e ReactOS.
 

.....

Está pensando em comprar algum produto online? Conheça a extensão Economize do Adrenaline para Google Chrome. Ela é gratuita e oferece a você comparativo de preços nas principais lojas e cupons para você comprar sempre com o melhor preço. Baixe agora.

Fonte: Tom’s Hardware
Tags
  • Redator: Felipe Gugelmin

    Felipe Gugelmin

    Jornalista com 10 anos de experiência nas áreas de tecnologia e games, gosta de estar por dentro das últimas tendências e novidades. Dedica boa parte do tempo livre a jogar (representante da PC Master Race), mas também arranja um tempo para a vida social, leituras e dar passeiros com seu cachorro.

- Publicidade -

O que você achou deste conteúdo? Deixe seu comentário abaixo e interaja com nossa equipe. Caso queira sugerir alguma pauta, entre em contato através deste formulário.