CVE-2018-10115は、以前のすべての7-Zipバージョンに影響します 18.05

CVE-2018-10115は、7-Zipで発見された最新のセキュリティ脆弱性の識別子であり、以前のプログラムのすべてのバージョンに影響を及ぼします。 18.05.

7-Zipの詳細

7-Zipは、圧縮率の高い無料のオープンソースアーカイバです。. プログラムはGNULGPLのライセンスの下にあります & BSD 3-clauseであり、ホームユーザーとエンタープライズユーザーの両方が使用できます。. 「「どのコンピュータでも7-Zipを使用できます, 営利組織のコンピューターを含む. 7-Zipの登録や支払いは必要ありません,」そのウェブサイト 言う.

7-Zipは、最初のリリースからほぼ20年前から存在しています。 1999. その最後の安定したリリースは4月でした 30, 2018, これは7-Zipバージョンです 18.05.

CVE-2018-10115の詳細

これが脆弱性の公式な説明です:

7-ZipのRARデコーダオブジェクトの初期化ロジックが正しくありません 18.03 以前は、初期化されていないメモリの使用につながる可能性があります, リモートの攻撃者がサービス拒否を引き起こすことを許可する (セグメンテーション違反) または、細工されたRARアーカイブを介して任意のコードを実行する.

今述べたように, この脆弱性の悪用に成功すると、攻撃者は脆弱なシステムで任意のコードを実行できる可能性があります. ユーザーに関連付けられている権限によって異なります, 攻撃者がプログラムをインストールする可能性があります; 見る, 変化する, またはデータを削除します; または完全なユーザー権限で新しいアカウントを作成します, CISの研究者 言った.

システムでより少ないユーザー権限を持つように構成した場合は注意してください, 管理者ユーザー権限で操作するユーザーよりも影響が少ない可能性があります.

最悪の部分は、CVE-2018-10115が最新の安定したリリースより前の7-Zipのすべてのバージョンに影響を与えることです, 18.05.

誰が危険にさらされているか? 大小の政府機関は搾取の危機に瀕しています, 小さいだけでなく, 中規模および大規模企業, とホームユーザー.

幸運, 研究者によると、現在、この脆弱性が実際に悪用されているという報告はありません。. それにもかかわらず, 対策を講じる必要があります.

CVEに対抗する方法-2018-10115?

研究者は以下の行動を推奨します:

• 7-Zipが提供する適切なアップデートを脆弱なシステムに適用する, 適切なテストの直後.
• すべてのソフトウェアを非特権ユーザーとして実行する (管理者権限のないもの) 成功した攻撃の影響を減らすため.
• 最小特権の原則をすべてのシステムとサービスに適用する.