サイバーセキュリティの専門家たちは、7-zipのコードに2つの深刻な脆弱性を発見しました。これらの脆弱性により、攻撃者はユーザーの知らないうちにzipファイルを処理して任意のコードを実行する可能性があります。2つの脆弱性とその対策の詳細な説明がオンラインで公開されています。
脆弱性はcve-2025-11002とcve-2025-11001として追跡されており、悪意のあるライブラリへのリンクを含む圧縮ファイルを悪用します。管理者権限でこれらのファイルを解凍すると、これらのライブラリがシステムディレクトリに配置され、自動的に実行される可能性があります。
脆弱性を悪用するには、管理者権限は必要ありません。ユーザーは単に悪意のあるアーカイブに対話する必要があります。これは企業システムにとって特に脅威となっており、任意のコードの注入はインフラ全体の完全な侵害につながる可能性があります。
7-zipバージョン25.00では、発見された脆弱性が修正され、厳密なパスチェックが実装され、解凍されたディレクトリを超えるシンボリックリンクがブロックされました。専門家は、すぐにプログラムを更新し、ファイルを自動的に解凍するシステムを確認することを推奨しています。
ハッカー攻撃の兆候としては、保護されたディレクトリに未知のライブラリや実行可能ファイル、システム上に疑わしいパスの長いzipファイルなどが挙げられます。
