В популярной программе для сжатия и распаковки файлов 7-Zip обнаружена критическая уязвимость, позволяющая злоумышленникам вызывать отказ в обслуживании (DoS) с помощью специально сформированных архивов в формате RAR5. Уязвимость, получившая идентификатор CVE-2025-53816, затрагивает декодер RAR5 и может привести к повреждению памяти и аварийному завершению работы системы при обработке вредоносных файлов.
Технические подробности уязвимости
Эксперт по кибербезопасности Ярослав Лобачевский обнаружил, что проблема, зарегистрированная как GHSL-2025-058, возникает из-за переполнения буфера в куче в компоненте NCompress::NRar5::CDecoder 7-Zip версии 24.09. Уязвимость классифицируется как CWE-122 (Heap-based Buffer Overflow) и проявляется при попытке программы восстановить поврежденные элементы архива, заполняя их нулями. Однако из-за ошибки в расчетах операций с памятью данные записываются за границы выделенного буфера.
Основная проблема заключается в некорректном вычислении параметра rem при вызове функции My_ZeroMemory(_window + _winPos, (size_t)rem). Когда 7-Zip обрабатывает поврежденные RAR5-файлы, декодер ошибочно определяет объем памяти, который нужно обнулить, что приводит к повреждению данных в куче. Особую опасность уязвимости придает тот факт, что значение _lzEnd, влияющее на размер переполнения буфера, зависит от данных, контролируемых злоумышленником.
Хотя уязвимость в первую очередь приводит к DoS-атакам, а не к выполнению произвольного кода, она стабильно провоцирует аварийное завершение работы приложения и, в некоторых случаях, всей системы. Эксперименты показали, что проблема воспроизводится как в сборках с ASAN (AddressSanitizer), так и в официальных версиях 7-Zip для Windows. Для демонстрации уязвимости достаточно извлечь вредоносный RAR5-архив с помощью команды "7zz e -so rar-crash.rar5", что вызывает мгновенный краш с ошибкой переполнения буфера.
Сообщение об уязвимости было передано разработчикам 7-Zip 24 апреля 2025 года в рамках ответственного разглашения. Команда проекта подтвердила получение отчета 29 апреля, а исправление выпустили в версии 25.00, которая стала доступна 5 июля 2025 года. Таким образом, на устранение проблемы ушло чуть более двух месяцев.
Пользователям настоятельно рекомендуется как можно скорее обновить 7-Zip до версии 25.00 или выше. Особенно важно учитывать эту угрозу корпоративным клиентам, так как атака через вредоносные архивы может нарушить работу критически важных систем. По возможности следует ограничивать обработку RAR5-файлов из ненадежных источников и внедрять дополнительные меры защиты при работе с архивами, например, использовать песочницы или антивирусное сканирование перед распаковкой.
Эксперты по безопасности также рекомендуют мониторить активность, связанную с попытками эксплуатации уязвимости, особенно в корпоративных сетях, где массовая отправка вредоносных архивов может привести к масштабным сбоям. В случае обнаружения подозрительных файлов или аномального поведения систем после обработки RAR5-архивов следует немедленно провести расследование и проверить обновления безопасности.
Хотя текущая реализация уязвимости не позволяет напрямую выполнить код на атакованной системе, подобные ошибки памяти часто становятся основой для более серьезных атак при дальнейшем исследовании. Поэтому своевременное обновление программного обеспечения остается одним из ключевых способов защиты от киберугроз.
Ссылки
- https://securitylab.github.com/advisories/GHSL-2025-058_7-Zip/
- https://nvd.nist.gov/vuln/detail/CVE-2025-53816
