7-Zip权限提升漏洞 (CVE-2022-29072) 风险通告

4月16日，研究人员披露了流行的开源压缩管理器7-Zip中的一个本地权限提升漏洞（CVE-2022-29072）。

由于7z.dll 的错误配置和堆溢出，在Windows 上的 7-Zip 中，允许在将扩展名为 .7z 的文件拖到Help>Contents区域时实现权限提升和命令执行。

影响范围

7-Zip版本 <= 21.07（Windows）

目前官方暂未发布此漏洞的安全更新，但研究人员已经发布了此漏洞的两种缓解措施：

1.删除安装文件中的7-zip.chm文件即可。

2.只赋予读取和运行权限(适用于所有用户)。

下载链接：

https://www.7-zip.org/

https://github.com/kagancapar/CVE-2022-29072

https://nvd.nist.gov/vuln/detail/CVE-2022-29072

https://securityonline.info/cve-2022-29072-7-zip-privilege-escalation-vulnerability/

声明：本文来自维他命安全，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。

国家漏洞库CNNVD：关于微软多个安全漏洞的通报