Nedávno odhalená bezpečnostní chyba postihující 7-Zip je podle upozornění vydaného britskou NHS England Digital aktivně zneužívána v reálném prostředí.
Dotčená zranitelnost je CVE-2025-11001 (CVSS skóre: 7,0), která umožňuje vzdáleným útočníkům spouštět libovolný kód. Byla opravena ve verzi 7-Zip 25.00 vydané v červenci 2025.
„Konkrétní chyba se nachází ve zpracování symbolických odkazů v ZIP souborech. Speciálně vytvořená data v ZIP souboru mohou způsobit, že proces přejde do nezamýšlených adresářů,“ uvedla Zero Day Initiative (ZDI) v upozornění vydaném minulý měsíc. „Útočník může tuto zranitelnost využít ke spuštění kódu v kontextu účtu služby.“
Za objevení a nahlášení zranitelnosti je připisována zásluha Ryotovi Shigovi ze společnosti GMO Flatt Security Inc. spolu s umělou inteligencí (AI) poháněným AppSec Auditorem Takumi této společnosti. Stojí za zmínku, že 7-Zip 25.00 také řeší další chybu, CVE-2025-11002 (CVSS skóre: 7,0), která umožňuje vzdálené spuštění kódu zneužitím nesprávného zpracování symbolických odkazů v ZIP archivech, což vede k procházení adresářů. Oba nedostatky byly zavedeny ve verzi 21.02.
„Bylo pozorováno aktivní zneužívání CVE-2025-11001 v reálném prostředí,“ uvedla NHS England Digital. V současné době však nejsou k dispozici žádné podrobnosti o tom, jak je zneužívána, kým a v jakém kontextu.
Vzhledem k tomu, že existují proof-of-concept (PoC) exploity, je nezbytné, aby uživatelé 7-Zip rychle aplikovali potřebné opravy co nejdříve, pokud tak již neučinili, pro optimální ochranu.
„Tato zranitelnost může být zneužita pouze z kontextu privilegovaného uživatele / účtu služby nebo počítače s povoleným vývojářským režimem,“ uvedl bezpečnostní výzkumník Dominik (alias pacbypass), který PoC zveřejnil, v příspěvku popisujícím chybu. „Tato zranitelnost může být zneužita pouze na Windows.“
Zdroj: thehackernews.com
