CVE-2026-48101
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
7-Zip, program do archiwizacji plików, zawiera podatność na ujawnienie niezinicjalizowanej pamięci w parserze kapsuły UEFI (.scap) w wersjach od 9.21 do 26.00. Funkcja OpenCapsule alokuje bufor na stercie bez zerowej inicjalizacji, co może prowadzić do ujawnienia nieautoryzowanych danych.
Ocena ryzyka
Organizacje mogą być narażone na ujawnienie wrażliwych informacji, co może prowadzić do naruszenia prywatności i bezpieczeństwa danych. Użytkownicy mogą nieświadomie uzyskać dostęp do nieautoryzowanych danych z pamięci.
Rekomendacja
Zaleca się aktualizację do wersji 26.0.1 lub nowszej, aby usunąć tę podatność. Należy również monitorować i oceniać potencjalne ryzyko związane z używaniem starszych wersji oprogramowania.
Inne podatności w 7-Zip
Zobacz wszystkie- CVE-2026-104086Średnie
7-Zip przed wersją 26.03 zawiera podatność polegającą na ujawnieniu niezainicjalizowanej pamięci w obsłudze archiwów SquashFS v4 (SquashfsHandler.cpp). Atakujący może wyciec pamięć sterty, tworząc złośliwe archiwum, w którym pole no_ids superbloku jest ustawione tak, że oczekiwany rozmiar końcowego bloku metadanych jest błędnie obliczony i omija kontrolę rozmiaru. Poprzez wyświetlenie lub rozpakowanie takiego archiwum atakujący może spowodować zwrócenie niezainicjalizowanej pamięci sterty jako właściwości kpidUserId i kpidGroupId.
- CVE-2026-48112Średnie
7-Zip w wersjach od 9.18 do 26.00 zawiera podatność typu heap out-of-bounds read w parserze BSD SYMDEF. Funkcja ParseLibSymbols odczytuje dane poza przydzielonym obszarem pamięci, co może prowadzić do wycieku nieinicjalizowanych danych.
- CVE-2026-48104Średnie
7-Zip w wersjach od 9.18 do 26.00 zawiera podatność w obsłudze archiwów SquashFS, polegającą na odczycie niezinicjalizowanej pamięci w sterowniku archiwum. Problem ten występuje podczas przetwarzania obrazów z niewielką liczbą inode'ów, co prowadzi do potencjalnego ujawnienia informacji z pamięci.
- CVE-2026-48095Wysokie
7-Zip w wersjach 26.00 i wcześniejszych zawiera podatność typu przepełnienie bufora na stercie, spowodowaną niewłaściwą alokacją w buforze strumienia skompresowanego NTFS. Atakujący mogą wykorzystać tę lukę do wykonania dowolnego kodu lub spowodowania awarii aplikacji.
- CVE-2026-48092Średnie
7-Zip to archiwizator plików z wysokim współczynnikiem kompresji. Wersje od 9.34 do 26.00 zawierają ujawnienie pamięci heap z powodu przepełnienia całkowitego w funkcji SquashFS ReadBlock na 32-bitowych wersjach.
- CVE-2025-53816Wysokie
7-Zip to archiwizator plików z wysokim współczynnikiem kompresji. W wersjach 7-Zip przed 25.0.0 występuje problem z zapisywaniem zer poza buforem sterty w obsłudze RAR5, co może prowadzić do uszkodzenia pamięci i odmowy usługi.
- CVE-2025-0411WysokieAktywnie exploitowane
Podatność w 7-Zip polegająca na obejściu znacznika Mark-of-the-Web. Zdalny atakujący może ominąć mechanizm ochrony Mark-of-the-Web w 7-Zip. Wymagana jest interakcja użytkownika, np. odwiedzenie złośliwej strony lub otwarcie złośliwego pliku. Podczas rozpakowywania plików z spreparowanego archiwum z Mark-of-the-Web, 7-Zip nie propaguje tego znacznika na rozpakowane pliki, co pozwala na wykonanie dowolnego kodu w kontekście bieżącego użytkownika.
- CVE-2026-14266Wysokie
W 7-Zip występuje podatność zdalnego wykonania kodu w dekompresji XZ spowodowana przepełnieniem bufora na stercie. Podatność wymaga interakcji użytkownika – ofiara musi odwiedzić złośliwą stronę lub otworzyć złośliwy plik. Specjalnie spreparowane dane skompresowane XZ mogą wywołać przepełnienie bufora na stercie.
- CVE-2026-58052Niskie
7-Zip dla Windows do wersji 26.01 nie zachowuje znacznika Mark-of-the-Web podczas rozpakowywania spreparowanego archiwum RAR5. Mechanizm ochronny pomija rekord STM o nazwie ':Zone.Identifier:$DATA', który po normalizacji NTFS nadpisuje oryginalny znacznik strefy internetowej wartością ZoneId=0, a dodatkowy rekord '::$DATA' podmienia zawartość pliku.
Oryginalny opis (angielski, źródło NVD)
7-Zip is a file archiver with a high compression ratio. Versions 9.21 through 26.00 contain an An uninitialized memory disclosure vulnerability in the UEFI capsule (.scap) parser in 7-Zip. The OpenCapsule function allocates a heap buffer of attacker-declared CapsuleImageSize (up to 1 GiB) without zero-initialization, then reads the file contents into it with ReadStream_FALSE whose return value is silently discarded. If the file is truncated, the unread tail of the buffer retains uninitialized heap memory, which is then exposed as extracted file content via GetStream. Version 26.0.1 fixes the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS