Błąd w 7-Zip umożliwia zdalne wykonanie kodu (RCE)

Landon Peng z Lunbun LLC odkrył lukę typu przepełnienie bufora na stosie w 7zip – popularnym narzędziu do obsługi archiwów.

TLDR:

• kolejna podatność typu przepełnienie bufora w 7-Zip
• tym razem błąd w obsłudze archiwów xz
• podatne wszystkie wersje przed 26.02

Błąd obecny jest prawdopodobnie we wszystkich wersjach 7-Zip do 26.02 włącznie i znajduje się w funkcji odpowiedzialnej za obsługę archiwów w formacie xz.Skuteczna eksploitacja może prowadzić do zdalnego wykonania kodu.

Do przeprowadzenia ataku wystarczy otwarcie spreparowanego archiwum przez ofiarę.

Dla przypomnienia, niedawno podatność tej samej klasy znaleziona została w funkcji odpowiedzialnej za obsługę archiwów NTFS.

Podatność otrzymała identyfikator CVE-2026-14266.

Zalecana jest natychmiastowa aktualizacja do poprawionej wersji 7-Zip, czyli 26.02.

~Paweł Różański