- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 新华三人才研学中心
- 关于我们
漏洞综述
漏洞背景
7-Zip是一款完全免费而且开源的压缩软件，相比其他软件有更高的压缩比而且相对于WinRAR不会消耗大量资源。具有开源免费，轻巧便携并且与同类收费软件功能相当的特点。新华三攻防实验室威胁预警团队监测到网上公开了7-Zip权限提升漏洞（CVE-2022-29072）的利用方法，成功利用此漏洞可实现权限提升和命令执行，本团队对该漏洞进行了复现和分析。
漏洞原理
该漏洞源于7z.dll 的错误配置和堆溢出，在Windows 上的 7-Zip 中，允许在将扩展名为 .7z 的文件拖到Help>Contents区域时实现权限提升和命令执行。
漏洞复现
影响范围
7-Zip <= 21.07（Windows）
漏洞等级：高危
处置方法
缓解措施
目前官方暂未发布此漏洞的安全更新，可采取以下两种临时缓解措施：
1.删除安装文件中的7-zip.chm文件即可。
2.只赋予读取和运行权限(适用于所有用户)。
参考链接
https://github.com/kagancapar/CVE-2022-29072
https://nvd.nist.gov/vuln/detail/CVE-2022-29072
https://securityonline.info/cve-2022-29072-7-zip-privilege-escalation-vulnerability/
产品与解决方案
售前咨询
售后咨询
人工在线咨询
