Een beveiligingslek in het bekende archiveringsprogramma 7-Zip maakt remote code execution mogelijk. Het probleem werd al op 25 juni verholpen met de release van 7-Zip versie 26.02, maar details over de kwetsbaarheid zijn nu pas openbaar gemaakt. Wanneer 7-Zip speciaal geprepareerde gecomprimeerde XZ-data verwerkt kan er een heap-based buffer overflow ontstaan, wat het uitvoeren van code op het systeem van de gebruiker mogelijk maakt.

Om misbruik van het beveiligingslek te maken volstaat het openen van een malafide archiefbestand met een kwetsbare versie of het bezoeken van een malafide pagina, aldus cybersecuritybedrijf ZDI dat het probleem aan de ontwikkelaar rapporteerde. Bij de release van versie 26.02 maakte de ontwikkelaar bekend dat deze versie meerdere bugs en kwetsbaarheden verhelpt, maar niet wat die inhouden. Gebruikers worden opgeroepen om naar de nieuwste versie te updaten. Kwetsbaarheden in 7-Zip zijn in het verleden misbruikt bij aanvallen.

Bron: Security.nl