CVE-2026-58052
NiskieCVSS 3.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
7-Zip dla Windows do wersji 26.01 nie zachowuje znacznika Mark-of-the-Web podczas rozpakowywania spreparowanego archiwum RAR5. Mechanizm ochronny pomija rekord STM o nazwie ':Zone.Identifier:$DATA', który po normalizacji NTFS nadpisuje oryginalny znacznik strefy internetowej wartością ZoneId=0, a dodatkowy rekord '::$DATA' podmienia zawartość pliku.
Ocena ryzyka
Atakujący może dostarczyć użytkownikowi plik, który po rozpakowaniu ominie ostrzeżenia SmartScreen i Mark-of-the-Web, podszywając się pod zaufaną treść. Użytkownik może zostać nakłoniony do otwarcia złośliwego pliku bez świadomości zagrożenia.
Rekomendacja
Zaleca się natychmiastową aktualizację 7-Zip do wersji nowszej niż 26.01, która zawiera poprawkę usuwającą tę podatność. Należy również rozważyć tymczasowe korzystanie z alternatywnych narzędzi do archiwizacji.
Inne podatności w 7-Zip
Zobacz wszystkie- CVE-2026-104086Średnie
7-Zip przed wersją 26.03 zawiera podatność polegającą na ujawnieniu niezainicjalizowanej pamięci w obsłudze archiwów SquashFS v4 (SquashfsHandler.cpp). Atakujący może wyciec pamięć sterty, tworząc złośliwe archiwum, w którym pole no_ids superbloku jest ustawione tak, że oczekiwany rozmiar końcowego bloku metadanych jest błędnie obliczony i omija kontrolę rozmiaru. Poprzez wyświetlenie lub rozpakowanie takiego archiwum atakujący może spowodować zwrócenie niezainicjalizowanej pamięci sterty jako właściwości kpidUserId i kpidGroupId.
- CVE-2026-48112Średnie
7-Zip w wersjach od 9.18 do 26.00 zawiera podatność typu heap out-of-bounds read w parserze BSD SYMDEF. Funkcja ParseLibSymbols odczytuje dane poza przydzielonym obszarem pamięci, co może prowadzić do wycieku nieinicjalizowanych danych.
- CVE-2026-48104Średnie
7-Zip w wersjach od 9.18 do 26.00 zawiera podatność w obsłudze archiwów SquashFS, polegającą na odczycie niezinicjalizowanej pamięci w sterowniku archiwum. Problem ten występuje podczas przetwarzania obrazów z niewielką liczbą inode'ów, co prowadzi do potencjalnego ujawnienia informacji z pamięci.
- CVE-2026-48095Wysokie
7-Zip w wersjach 26.00 i wcześniejszych zawiera podatność typu przepełnienie bufora na stercie, spowodowaną niewłaściwą alokacją w buforze strumienia skompresowanego NTFS. Atakujący mogą wykorzystać tę lukę do wykonania dowolnego kodu lub spowodowania awarii aplikacji.
- CVE-2026-48092Średnie
7-Zip to archiwizator plików z wysokim współczynnikiem kompresji. Wersje od 9.34 do 26.00 zawierają ujawnienie pamięci heap z powodu przepełnienia całkowitego w funkcji SquashFS ReadBlock na 32-bitowych wersjach.
- CVE-2025-53816Wysokie
7-Zip to archiwizator plików z wysokim współczynnikiem kompresji. W wersjach 7-Zip przed 25.0.0 występuje problem z zapisywaniem zer poza buforem sterty w obsłudze RAR5, co może prowadzić do uszkodzenia pamięci i odmowy usługi.
- CVE-2025-0411WysokieAktywnie exploitowane
Podatność w 7-Zip polegająca na obejściu znacznika Mark-of-the-Web. Zdalny atakujący może ominąć mechanizm ochrony Mark-of-the-Web w 7-Zip. Wymagana jest interakcja użytkownika, np. odwiedzenie złośliwej strony lub otwarcie złośliwego pliku. Podczas rozpakowywania plików z spreparowanego archiwum z Mark-of-the-Web, 7-Zip nie propaguje tego znacznika na rozpakowane pliki, co pozwala na wykonanie dowolnego kodu w kontekście bieżącego użytkownika.
- CVE-2026-14266Wysokie
W 7-Zip występuje podatność zdalnego wykonania kodu w dekompresji XZ spowodowana przepełnieniem bufora na stercie. Podatność wymaga interakcji użytkownika – ofiara musi odwiedzić złośliwą stronę lub otworzyć złośliwy plik. Specjalnie spreparowane dane skompresowane XZ mogą wywołać przepełnienie bufora na stercie.
- CVE-2026-48101Średnie
7-Zip, program do archiwizacji plików, zawiera podatność na ujawnienie niezinicjalizowanej pamięci w parserze kapsuły UEFI (.scap) w wersjach od 9.21 do 26.00. Funkcja OpenCapsule alokuje bufor na stercie bez zerowej inicjalizacji, co może prowadzić do ujawnienia nieautoryzowanych danych.
Oryginalny opis (angielski, źródło NVD)
7-Zip for Windows through 26.01 fails to preserve the Mark-of-the-Web when extracting a crafted RAR5 archive, because its guard that suppresses an archive-supplied Zone.Identifier stream matches the exact name 'Zone.Identifier' while a RAR5 STM record named ':Zone.Identifier:$DATA' is not matched and NTFS canonicalizes it to the same stream, overwriting the propagated Internet-zone marker with ZoneId=0. A second STM record named '::$DATA' overwrites the extracted file's default data stream, letting an attacker defeat SmartScreen/MotW warnings and spoof file content.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS