7-Zip je mali alat s velikim sigurnosnim dometom: stotine milijuna računala treba provjeru

Tom's Hardware izvještava o široko rasprostranjenoj ranjivosti u 7-Zipu koja omogućuje izvršavanje koda i nosi CVE ocjenu 8,8. To nije rubna bilješka za administratore koji vole arhivere. 7-Zip je jedan od onih alata koji godinama tiho stoje na radnim stanicama, serverskim okruženjima, servisnim računalima, prijenosnicima developera i kućnim konfiguracijama. Upravo zato propust u takvoj aplikaciji ima veći domet od prosječne ranjivosti u specijaliziranom softveru.

Ključ problema je kombinacija funkcije i rasprostranjenosti. Arhiveri rutinski obrađuju datoteke koje dolaze izvana: privitke, preuzete pakete, logove, backupove, instalacijske bundleove i razmjenu između timova. Ako propust u takvom alatu dopušta izvršavanje koda, napadač ne mora nužno ciljati egzotičan sustav. Dovoljno je pogoditi naviku: netko primi arhivu, otvori je lokalno i pokrene lanac koji ne bi smio postojati.

Ocjena 8,8 u CVE/CVSS kontekstu stavlja ranjivost u visoki sigurnosni razred. Sama brojka nije potpuna tehnička analiza, ali je dovoljan signal za prioritet. CVE program služi za jedinstveno označavanje javno poznatih ranjivosti, dok CVSS daje okvir za procjenu ozbiljnosti. U praksi, takva kombinacija znači da sigurnosni timovi ne bi trebali čekati sljedeći redovni ciklus održavanja ako je zahvaćena verzija potvrđena u njihovom okruženju.

Ovdje je važna i jedna urednička disciplina: iz dostupnog konteksta ne treba izmišljati detalje koji nisu navedeni. Nije naveden konkretan CVE identifikator, pogođene verzije ni točan tehnički mehanizam iskorištavanja. Zato se operativni zaključak mora držati onoga što je poznato: riječ je o 7-Zipu, ranjivost omogućuje izvršavanje koda, ocijenjena je s 8,8 i potencijalno zahvaća stotine milijuna strojeva.

Za korisnike to znači nekoliko neposrednih poteza. Provjeriti instaliranu verziju 7-Zipa. Pratiti službenu stranicu projekta i distribucijske kanale kroz koje je alat instaliran. Ne otvarati arhive iz nepouzdanih izvora, osobito na strojevima s pristupom osjetljivim podacima ili internim mrežama. U poslovnim okruženjima treba inventarizirati instalacije, postaviti privremene kontrole nad privicima i preuzetim arhivama te provjeriti može li EDR ili gateway sloj prepoznati sumnjive lance otvaranja arhiva.

Najnezgodniji dio ovakvih propusta je što ne izgledaju spektakularno. Nema novog uređaja, nema velikog prekida servisa, nema dramatičnog sučelja. Postoji samo stari alat, nova ranjivost i golema instalirana baza. To je dovoljno. Softver za kompresiju je mali komad infrastrukture, ali kada obrađuje datoteke s ruba mreže, ponaša se kao sigurnosna granica. Ranjivost s ocjenom 8,8 u takvom sloju treba tretirati kao hitan posao održavanja, ne kao vijest za kasnije čitanje.