7-Zip уязвим: атаки через архивы и как обновиться
В 7-Zip выявлены две уязвимости, позволяющие злоумышленникам выполнить произвольный код через обработку символьных ссылок в ZIP-файлах. Исправления были внедрены в июле 2025 года, но информация о них стала общедоступной 7 октября, оставляя пользователей, не обновивших программу, под угрозой.
По данным Trend Micro Zero Day Initiative (ZDI), в популярном открытом архиваторе 7-Zip выявлены две уязвимости, позволяющие злоумышленникам выполнить произвольный код. Идентификаторы уязвимостей — CVE-2025-11001 и CVE-2025-11002 — были исправлены в июле 2025 года, но информация о них стала общедоступной только 7 октября. Это означает, что пользователи, не обновившие программу с начала лета, оставались под угрозой.
Механизм уязвимостей
Проблема связана с обработкой символических ссылок в ZIP-файлах. Эксплуатация позволяет злоумышленнику выйти за пределы целевого каталога и записать файлы в произвольные места системы. При последовательном использовании уязвимостей злоактивность может привести к выполнению кода с привилегиями пользователя. Уровень критичности (CVSS) для каждой уязвимости оценивается как 7.0.
Для активации угрозы достаточно открыть или распаковать вредоносный архив. ZDI классифицирует оба дефекта как уязвимости перехода по каталогам, приводящие к удалённому выполнению кода в контексте служебного аккаунта.
Проблемы с обновлением ПО
Патч для уязвимостей был выпущен в версии 25.00 5 июля 2025 года. Однако автоматического обновления в 7-Zip не предусмотрено. Пользователям необходимо вручную загрузить актуальную версию с официального сайта. В корпоративных средах инструмент часто остаётся вне систем управления патчами, так как он не устанавливается через Windows Installer или централизованные репозитории.
В августе вышла стабильная версия 25.01, включающая дополнительные исправления для обработки архивов RAR и COM. Ранее, в марте 2025 года, ZDI сообщала о другой уязвимости (CVE-2025-0411), позволявшей обойти защиту Mark-of-the-Web в Windows. Эта проблема была решена в версии 24.09.
Рекомендации по защите
Для минимизации рисков рекомендуется обновить 7-Zip до версии 25.01 или выше. Установка через официальный сайт гарантирует сохранение пользовательских настроек. Время до обновления стоит избегать распаковки архивов из непроверенных источников.
Интересно: Как влияет отсутствие автоматического обновления на уязвимости в открытом ПО, и какие альтернативы могут снизить риски для пользователей, не следящих за релизами вручную?
Уязвимости в 7-Zip: между удобством и безопасностью
Уязвимости как зеркало системных проблем
7-Zip демонстрирует типичную проблему: отсутствие автоматического обновления приводит к увеличению окна уязвимости. Уязвимости CVE-2025-11001 и CVE-2025-11002 были исправлены в июле 2025 года, но публичное раскрытие произошло в октябре. Это создало риск для пользователей, не обновивших ПО. Аналогичная ситуация наблюдается и в других системах. Например, уязвимость RediShell в Redis, открытой в 2012 году, до сих пор эксплуатируется из-за сложности в обновлении десятков тысяч экземпляров.
Ключевой фактор: отсутствие автоматизации обновлений в 7-Zip. В отличие от корпоративных решений (например, Windows), 7-Zip не интегрируется в системы управления патчами. Это делает его уязвимым в организациях, где архиватор используется как вспомогательный инструмент. Дополнительный риск возникает из-за уязвимостей в других популярных инструментах, таких как пакеты npm, где хакеры внедряют вредоносный код через обновления.
Корпоративные риски и неочевидные последствия
Для бизнеса проблема выходит за рамки одного архиватора. Многие компании используют 7-Zip для обработки файлов из внешних источников. Если архив с вредоносным symlink-кодом попадает в корпоративную сеть, а пользователь не обновил ПО, это может привести к компрометации локальных систем. Особенно критично, если архивы распаковываются с правами администратора.
Неочевидный сценарий: злоумышленники могут использовать уязвимости в 7-Zip как часть более широкой атакующей стратегии. Например, группа Clop использует уязвимости Oracle для одновременного проникновения в десятки организаций. Это подчеркивает необходимость комплексного подхода к безопасности.
Альтернативы и долгосрочные решения
Для минимизации рисков, связанных с ручным обновлением, стоит рассмотреть интеграцию 7-Zip в существующие системы управления патчами. В крупных организациях можно внедрить политику, требующую регулярной проверки версий сторонних инструментов.
Тренд: рост интереса к альтернативным архиваторам с встроенными обновлениями. Например, PeaZip или Bandizip предлагают более современные подходы к безопасности. Это может стать триггером для пересмотра стандартных инструментов в корпоративных средах.
Важный нюанс: Уязвимости в 7-Zip подчеркивают, что даже «доверенные» инструменты требуют системного подхода к безопасности. Отсутствие автоматизации — не недостаток самого ПО, а пробел в стратегии управления рисками.
Долгосрочные последствия для открых решений
Случай с 7-Zip — не первый и, вероятно, не последний. Открытые проекты часто сталкиваются с проблемой ограниченных ресурсов для тестирования и быстрого распространения патчей. Это создает парадокс: чем популярнее инструмент, тем выше вероятность, что его уязвимости будут использованы. Для российских компаний, активно применяющих открытые решения, это требует пересмотра подхода к выбору ПО.
Практический вывод: при выборе стороннего ПО важно учитывать не только функциональность, но и наличие механизмов автоматического обновления. В противном случае, даже небольшие уязвимости могут стать критичными, если не встроить их в корпоративную политику безопасности.
Что за этим стоит? Уязвимости в 7-Zip — это не просто техническая проблема, а сигнал о необходимости пересмотра подходов к управлению рисками в эпоху, когда даже вспомогательные инструменты могут стать слабым звеном.
Дополнительные угрозы в экосистеме
Современные атаки часто используют слабые места в разных слоях инфраструктуры. Например:
- SAP NetWeaver с критичностью 10/10 позволяет выполнить произвольные команды без авторизации.
- OnePlus оставила миллионы пользователей без защиты от утечки SMS-сообщений из-за уязвимости в OxygenOS.
Эти примеры подтверждают, что уязвимости могут возникать в самых неожиданных местах, требуя постоянного мониторинга и быстрой реакции.
Рекомендации:
- Регулярно проверяйте версии всех используемых инструментов, включая сторонние.
- Интегрируйте обновления в процессы управления патчами, даже для вспомогательных ПО.
- Обучайте сотрудников распознавать риски, связанные с непроверенными архивами и пакетами.
Эти меры помогут снизить вероятность компрометации, особенно в условиях, когда уязвимости могут оставаться незамеченными годами.
