Уязвимость 7-Zip: новые CVE позволяют удаленное выполнение кода и перезапись файлов

В этом выпуске CVE недели Джон и Лу разбирают пару новых уязвимостей, затрагивающих один из самых распространённых инструментов для настольных компьютеров Windows — 7-Zip.

Эти уязвимости, известные как CVE-2025-11001 и CVE-2025-11002, позволяют злоумышленникам создавать вредоносные архивы, которые могут выходить за пределы папки извлечения, перезаписывать произвольные файлы и потенциально приводить к удалённому выполнению кода (RCE). Ведущие обсуждают, как эти уязвимости влияют не только на отдельных пользователей, но и на автоматизированные системы, такие как конвейеры непрерывной интеграции и непрерывной доставки (CI/CD), серверы резервного копирования и антивирусные сканеры, которые автоматически распаковывают архивы.

Они также рассказывают, как эта, казалось бы, незначительная проблема (CVSS 7.0) выявляет более глубокую проблему — теневые ИТ-ресурсы и неконтролируемую установку программного обеспечения в корпоративных средах. В этом выпуске представлены практические рекомендации по обеспечению безопасности вашей организации, от стратегий установки исправлений до контроля эскалации привилегий пользователей.

⸻

Ключевые выводы
• Две новые уязвимости 7-Zip (CVE-2025-11001 и CVE-2025-11002) позволяют осуществлять обход каталогов и выполнение кода.
• Влияет на рабочие столы Windows и автоматизированные процессы извлечения данных в корпоративных системах.
• Эксплойты, подтверждающие концепцию, уже опубликованы на GitHub.
• Решение: немедленно обновите 7-Zip, отключите автоматическое извлечение ненадежных файлов и проведите аудит прав доступа к конечным точкам.
• Также определите четкую политику установки программного обеспечения, чтобы минимизировать риск, связанный с неуправляемыми инструментами.

⸻

Оставайтесь на связи

IT SPARC Cast
@ITSPARCCast на X
  / sparc-sales   на LinkedIn

Джон Баргер
@john_Video на X
  / johnbarger   на LinkedIn

Лу Шмидт
@loudoggeek на X
  / louis-schmidt-b102446   на LinkedIn