PplWare Mobile

Usa o conhecido 7-ZIP no Windows? Cuidado que este tem uma falha muito grave

                                    
                                

Este artigo tem mais de um ano


Autor: Pedro Simões


  1. Sargas says:

    Por acaso o substitui recentemente pelo Peazip. É leve, tem mais recursos e é open source como 7-zip.

  2. xtremis says:

    “Para explorar a falha presente no 7-ZIP o atacante precisa de ter acesso físico ao Windows e a partir desse ponto realizar o ataque.”

    Bom, se alguém tem acesso físico ao Windows, eu diria que o 7-ZIP é o menor dos problemas 🙂

    • BMJ says:

      Há mais cenários, vamos imaginar que um utilizador tem um portátil de um banco, onde tem tudo fechado, o seu utilizador não pode fazer nada no portátil, a não ser usar as ferramentas disponibilizadas. Se por acaso este utilizador tiver o 7-zip instalado, e é algo muito comum, tem uma forma de conseguir aceder ao portátil do trabalho com permissões de administrador.

  3. ervilhoid says:

    “Para explorar a falha presente no 7-ZIP o atacante precisa de ter acesso físico ao Windows e a partir desse ponto realizar o ataque.”

  4. videira says:

    onde esta a fonte disto?

  5. Luis says:

    WinRAR forever!

  6. TSSRK says:

    A falha não será da biblioteca do microsoft html help?

  7. Rui Machado says:

    No forum do 7zip há quem discorde https://sourceforge.net/p/sevenzip/discussion/45797/thread/65ce9ab4cb/ e já há inclusive malta da CERT que ja goza com a situação https://twitter.com/wdormann/status/1516217431437500419

  8. ZarkBit says:

    The listed 7zip CVE-2022-29072 vulnerability has now been marked as “disputed” in the official listing, and “multiple third parties have reported that no privilege escalation can occur.” According to Google Project Zero vulnerability researcher Tavis Ormandy who alerted us to the dispute, this exploit could only occur by editing the registry and possibly other maneuvers (like adding another Local Administrator account). However, the description isn’t clear enough to discern the method of attack. We’ll keep you updated if the dispute is granted.

    https://www.tomshardware.com/news/7-zip-zero-day-exploit

    Até no reddit a malta do r/sysadmin não consegue replicar isto.

  9. irritadiço says:

    O que se podia esperar de um software grátis russo???

    • Joao Ptt says:

      Que funcione, como todos os outros.

      Não precisa de acesso à Internet, já é um grande bónus, os software de outros países ou obrigam a ter acesso à Internet ou incentivam à grande.

      E sim, pode ter funções ocultas malignas, como qualquer outro software. Espera-se que não tenha, mas pode ter.

      Aparentemente esta vulnerabilidade está a ser contestada, como no máximo sendo algum problema que a Microsoft tem de solucionar.

  10. Luis Figueira says:

    Acesso físico ao Windows???

  11. David Guerreiro says:

    A falha não é do 7-Zip, mas sim do Windows, nomeadamente no módulo dos ficheiros de ajuda. Outra pessoa criou um exploit igual, para o XVI32 https://twitter.com/wdormann/status/1516217431437500419

  12. Pedro says:

    dá jeito, imaginem que estão em teletrabalho, o pc que utilizam tem 7zip e precisam de instalar um determinado programa mas estao impedidos devido a terem uma conta de utilizar sem permissão…

Deixe um comentário

O seu endereço de email não será publicado.

You may use these HTML tags and attributes: <a href="" title="" rel=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <s> <strike> <strong>

*

Aviso: Todo e qualquer texto publicado na internet através deste sistema não reflete, necessariamente, a opinião deste site ou do(s) seu(s) autor(es). Os comentários publicados através deste sistema são de exclusiva e integral responsabilidade e autoria dos leitores que dele fizerem uso. A administração deste site reserva-se, desde já, no direito de excluir comentários e textos que julgar ofensivos, difamatórios, caluniosos, preconceituosos ou de alguma forma prejudiciais a terceiros. Textos de caráter promocional ou inseridos no sistema sem a devida identificação do seu autor (nome completo e endereço válido de email) também poderão ser excluídos.