7-Zip 26.02 corrige vulnerabilidade grave

Quem utiliza o 7-Zip deve proceder à actualização para a versão 26.02 ou mais recente.

A nova versão 7-Zip 26.02 já está disponível e corrige uma vulnerabilidade crítica que pode permitir a execução remota de código (RCE) através de ficheiros comprimidos maliciosos. A falha afecta o processamento de dados no formato XZ e pode ser explorada caso o utilizador abra um ficheiro especialmente criado para esse efeito.

Segundo os investigadores que descobriram o problema, a vulnerabilidade resulta de um erro na gestão da memória durante a descompressão de ficheiros XZ, podendo provocar um buffer overflow e permitir a execução de código com os privilégios do utilizador. Para que o ataque seja bem-sucedido, é necessária alguma interação da vítima, como abrir um ficheiro malicioso descarregado através de campanhas de phishing.

A actualização adiciona verificações que impedem o descodificador de escrever dados para além do espaço disponível na memória, eliminando a falha. Até ao momento, não existem indícios de que esta vulnerabilidade esteja a ser explorada activamente em campanhas, mas é sempre melhor prevenir do que remediar.

Como o 7-Zip não possui um sistema de actualizações automáticas, os utilizadores terão de instalar manualmente a versão 26.02 para ficarem protegidos. Dada a popularidade da aplicação e o historial de ataques que tentam tirar partido de vulnerabilidades em programas de compressão, é fortemente recomendado actualizar o mais rapidamente possível.