有名なオープン ソースの解凍ソフトウェア 7-Zip に、高リスクのセキュリティ脆弱性があることが最近明らかになりました。攻撃者は、注意深く作成された悪意のある圧縮ファイルをユーザーに開かせるだけで、被害者のシステム上で悪意のあるコードをリモートから実行することができます。 7-Zip には長い間自動更新メカニズムがなかったため、ユーザーとシステム管理者はこの脆弱性を修正するために最新バージョンを手動でダウンロードしてインストールする必要があります。
セキュリティ機関トレンドマイクロの「ゼロデイプロジェクト」が公開した情報によると、この脆弱性はCVE-2026-14266として追跡されており、本質的にはヒープベースのバッファオーバーフローの脆弱性だという。ソフトウェアが特定の XZ 圧縮データ ストリームを処理しているときに、特別に偽造された圧縮パッケージに遭遇するとオーバーフローが発生し、攻撃者が任意のコードを実行するための経路が開かれてしまいます。被害者は、脅威を含む Web ページにアクセスするか、問題のアーカイブを開くだけで、関連するコードが現在ログインしているユーザーと同じ権限を直接取得して実行されます。
この脆弱性は、今年 6 月初旬に Lunbun 研究者の Landon Peng によって 7-Zip 開発チームに最初に報告されました。すべての関係者の努力により、7-Zip チームはセキュリティ上のギャップを埋めるために数週間以内にバージョン 26.02 を迅速にリリースしました。ただし、この脆弱性の具体的な技術的詳細は、最近 ZDI がセキュリティ情報を公開するまで広く知られていませんでした。 7-Zip は広くクロスプラットフォームであり、Windows、Linux、macOS、BSD などの複数のオペレーティング システムで実行されることを考えると、この脆弱性の影響は従来の Windows ユーザー グループに限定されません。
人気の軽量アーカイブ ツールである 7-Zip には、極めてシンプルさを維持するために自動更新インフラストラクチャが組み込まれていません。サポートする .xz 形式自体は、7-Zip 開発者 Igor Pavlov によって以前に作成された LZMA 圧縮アルゴリズムから発展した圧縮ストリームのコンテナです。このソフトウェアはコンシューマー側とサーバー側の両方で広く使用されているため、多くのシステムやコマンド ライン ツールはこのソフトウェアを利用してマルチフォーマット解凍サポートを無料で提供しています。この人気の高さにより、サイバー犯罪者やセキュリティ研究者にとっても重要な標的となっています。セキュリティ専門家は、自動アップデート機能のないこのような主要ツールについては、ユーザーは常に厳重に警戒し、単一の未修正の脆弱性が大規模なシステムセキュリティインシデントに発展することを防ぐために、タイムリーに手動でバージョンアップデートをフォローアップすることを忘れないよう注意する必要があると注意を呼びかけています。
もっと詳しく知る：
https://www.zerodayinitiative.com/advisories/ZDI-26-444/