CVE-2026-48104
ŚrednieCVSS 4.2Streszczenie
7-Zip w wersjach od 9.18 do 26.00 zawiera podatność w obsłudze archiwów SquashFS, polegającą na odczycie niezinicjalizowanej pamięci w sterowniku archiwum. Problem ten występuje podczas przetwarzania obrazów z niewielką liczbą inode'ów, co prowadzi do potencjalnego ujawnienia informacji z pamięci.
Ocena ryzyka
Organizacje mogą być narażone na ataki prowadzące do ujawnienia informacji z pamięci oraz do odmowy usługi w wyniku dereferencji wskaźników. Wersja 26.01 eliminuje tę podatność.
Rekomendacja
Zaleca się aktualizację do wersji 26.01 lub nowszej, aby usunąć tę podatność. Należy również monitorować użycie archiwów SquashFS w aplikacjach korzystających z 7-Zip.
Inne podatności w 7-Zip
Zobacz wszystkie- CVE-2026-48112Średnie
7-Zip w wersjach od 9.18 do 26.00 zawiera podatność typu heap out-of-bounds read w parserze BSD SYMDEF. Funkcja ParseLibSymbols odczytuje dane poza przydzielonym obszarem pamięci, co może prowadzić do wycieku nieinicjalizowanych danych.
- CVE-2026-48095Wysokie
7-Zip w wersjach 26.00 i wcześniejszych zawiera podatność typu przepełnienie bufora na stercie, spowodowaną niewłaściwą alokacją w buforze strumienia skompresowanego NTFS. Atakujący mogą wykorzystać tę lukę do wykonania dowolnego kodu lub spowodowania awarii aplikacji.
- CVE-2026-48092Średnie
7-Zip to archiwizator plików z wysokim współczynnikiem kompresji. Wersje od 9.34 do 26.00 zawierają ujawnienie pamięci heap z powodu przepełnienia całkowitego w funkcji SquashFS ReadBlock na 32-bitowych wersjach.
- CVE-2025-53816Wysokie
7-Zip to archiwizator plików z wysokim współczynnikiem kompresji. W wersjach 7-Zip przed 25.0.0 występuje problem z zapisywaniem zer poza buforem sterty w obsłudze RAR5, co może prowadzić do uszkodzenia pamięci i odmowy usługi.
- CVE-2026-14266Wysokie
W 7-Zip występuje podatność zdalnego wykonania kodu w dekompresji XZ spowodowana przepełnieniem bufora na stercie. Podatność wymaga interakcji użytkownika – ofiara musi odwiedzić złośliwą stronę lub otworzyć złośliwy plik. Specjalnie spreparowane dane skompresowane XZ mogą wywołać przepełnienie bufora na stercie.
- CVE-2026-58052Niskie
7-Zip dla Windows do wersji 26.01 nie zachowuje znacznika Mark-of-the-Web podczas rozpakowywania spreparowanego archiwum RAR5. Mechanizm ochronny pomija rekord STM o nazwie ':Zone.Identifier:$DATA', który po normalizacji NTFS nadpisuje oryginalny znacznik strefy internetowej wartością ZoneId=0, a dodatkowy rekord '::$DATA' podmienia zawartość pliku.
- CVE-2026-48101Średnie
7-Zip, program do archiwizacji plików, zawiera podatność na ujawnienie niezinicjalizowanej pamięci w parserze kapsuły UEFI (.scap) w wersjach od 9.21 do 26.00. Funkcja OpenCapsule alokuje bufor na stercie bez zerowej inicjalizacji, co może prowadzić do ujawnienia nieautoryzowanych danych.
Oryginalny opis (angielski, źródło NVD)
7-Zip is a file archiver with a high compression ratio. Versions 9.18 through 26.00 contain an uninitialized heap read in the SquashFS archive handler caused by a sparsely populated index array. In the SquashFS handler, _blockToNode is allocated with capacity for every metadata block but populated only when an inode crosses a block boundary, so a crafted image with few inodes spanning many blocks leaves most slots holding raw heap contents (the underlying allocator does not zero-initialize POD storage). When OpenDir looks up an attacker-influenced blockIndex (derived from the RootInode superblock field), it reads two of these uninitialized slots and passes them as the left/right bounds of a binary search over _nodesPos, which dereferences the midpoint without bounds checking; if the resulting value happens to match the search key, the returned index is used to read a full node struct from _nodes whose fields feed further directory parsing, forming a chained OOB read primitive that is heap-layout-dependent and not reliably triggerable. The SquashFS handler is enabled by default in stock 7z.dll and the issue triggers during Open() with no interaction beyond opening the file; impact is denial of service from wild-pointer dereference and potential heap information disclosure, with no write primitive. Version 26.01 fixes the issue.