CVE-2026-104086
ŚrednieCVSS 5.5Streszczenie
7-Zip przed wersją 26.03 zawiera podatność polegającą na ujawnieniu niezainicjalizowanej pamięci w obsłudze archiwów SquashFS v4 (SquashfsHandler.cpp). Atakujący może wyciec pamięć sterty, tworząc złośliwe archiwum, w którym pole no_ids superbloku jest ustawione tak, że oczekiwany rozmiar końcowego bloku metadanych jest błędnie obliczony i omija kontrolę rozmiaru. Poprzez wyświetlenie lub rozpakowanie takiego archiwum atakujący może spowodować zwrócenie niezainicjalizowanej pamięci sterty jako właściwości kpidUserId i kpidGroupId.
Ocena ryzyka
Atakujący może ujawnić potencjalnie wrażliwe zawartości pamięci procesu, dostarczając specjalnie spreparowane archiwum SquashFS. Może to prowadzić do wycieku informacji, które mogą zostać wykorzystane w dalszych atakach.
Rekomendacja
Zaktualizuj 7-Zip do wersji 26.03 lub nowszej. Unikaj wyświetlania i rozpakowywania niezaufanych archiwów SquashFS do czasu wdrożenia poprawki.
Inne podatności w 7-Zip
Zobacz wszystkie- CVE-2026-48112Średnie
7-Zip w wersjach od 9.18 do 26.00 zawiera podatność typu heap out-of-bounds read w parserze BSD SYMDEF. Funkcja ParseLibSymbols odczytuje dane poza przydzielonym obszarem pamięci, co może prowadzić do wycieku nieinicjalizowanych danych.
- CVE-2026-48104Średnie
7-Zip w wersjach od 9.18 do 26.00 zawiera podatność w obsłudze archiwów SquashFS, polegającą na odczycie niezinicjalizowanej pamięci w sterowniku archiwum. Problem ten występuje podczas przetwarzania obrazów z niewielką liczbą inode'ów, co prowadzi do potencjalnego ujawnienia informacji z pamięci.
- CVE-2026-48095Wysokie
7-Zip w wersjach 26.00 i wcześniejszych zawiera podatność typu przepełnienie bufora na stercie, spowodowaną niewłaściwą alokacją w buforze strumienia skompresowanego NTFS. Atakujący mogą wykorzystać tę lukę do wykonania dowolnego kodu lub spowodowania awarii aplikacji.
- CVE-2026-48092Średnie
7-Zip to archiwizator plików z wysokim współczynnikiem kompresji. Wersje od 9.34 do 26.00 zawierają ujawnienie pamięci heap z powodu przepełnienia całkowitego w funkcji SquashFS ReadBlock na 32-bitowych wersjach.
- CVE-2025-53816Wysokie
7-Zip to archiwizator plików z wysokim współczynnikiem kompresji. W wersjach 7-Zip przed 25.0.0 występuje problem z zapisywaniem zer poza buforem sterty w obsłudze RAR5, co może prowadzić do uszkodzenia pamięci i odmowy usługi.
- CVE-2025-0411WysokieAktywnie exploitowane
Podatność w 7-Zip polegająca na obejściu znacznika Mark-of-the-Web. Zdalny atakujący może ominąć mechanizm ochrony Mark-of-the-Web w 7-Zip. Wymagana jest interakcja użytkownika, np. odwiedzenie złośliwej strony lub otwarcie złośliwego pliku. Podczas rozpakowywania plików z spreparowanego archiwum z Mark-of-the-Web, 7-Zip nie propaguje tego znacznika na rozpakowane pliki, co pozwala na wykonanie dowolnego kodu w kontekście bieżącego użytkownika.
- CVE-2026-14266Wysokie
W 7-Zip występuje podatność zdalnego wykonania kodu w dekompresji XZ spowodowana przepełnieniem bufora na stercie. Podatność wymaga interakcji użytkownika – ofiara musi odwiedzić złośliwą stronę lub otworzyć złośliwy plik. Specjalnie spreparowane dane skompresowane XZ mogą wywołać przepełnienie bufora na stercie.
- CVE-2026-58052Niskie
7-Zip dla Windows do wersji 26.01 nie zachowuje znacznika Mark-of-the-Web podczas rozpakowywania spreparowanego archiwum RAR5. Mechanizm ochronny pomija rekord STM o nazwie ':Zone.Identifier:$DATA', który po normalizacji NTFS nadpisuje oryginalny znacznik strefy internetowej wartością ZoneId=0, a dodatkowy rekord '::$DATA' podmienia zawartość pliku.
- CVE-2026-48101Średnie
7-Zip, program do archiwizacji plików, zawiera podatność na ujawnienie niezinicjalizowanej pamięci w parserze kapsuły UEFI (.scap) w wersjach od 9.21 do 26.00. Funkcja OpenCapsule alokuje bufor na stercie bez zerowej inicjalizacji, co może prowadzić do ujawnienia nieautoryzowanych danych.
Oryginalny opis (angielski, źródło NVD)
7-Zip before 26.03 contains an uninitialized memory disclosure vulnerability in the SquashFS v4 archive handler (SquashfsHandler.cpp) that allows attackers to leak heap memory by crafting a malicious archive where the superblock’s no_ids field is set so that the final metadata block’s expected size is miscomputed and bypasses the size validation check. By listing or extracting the crafted archive, attackers can cause the application to return uninitialized heap memory as the kpidUserId and kpidGroupId properties, exposing potentially sensitive process memory contents to the user.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS