7-Zip sotto attacco: un bug di heap overflow può portare all’esecuzione di codice remoto

La versione 26.00 di 7-Zip nasconde una vulnerabilità critica nel gestore NTFS che può portare a overflow dell’heap e potenziale esecuzione di codice arbitrario. Il problema, identificato come GHSL-2026-140, nasce da una sottoallocazione nel calcolo delle unità di compressione NTFS. Un singolo file costruito ad arte può bastare per innescare la catena di corruzione della memoria.

7-Zip, il celebre compressore di file, in particolare la versione 26.00 è stato aflitta da una vulnerabilità GHSL-2026-140 derivante da una sotto allocazione del buffer durante la gestione dei flussi compressi NTFS.

La funzione CInStream::GetCuSize() calcola la dimensione del buffer con uno shift a 32 bit. Quando i valori ClusterSizeLog >= 28 e CompressionUnit == 4 vengono combinati, assieme si arriva a uno shift di 32 bit.

Qui entra in gioco un comportamento indefinito del compilatore C++, che porta all’allocazione di un buffer di 1 byte invece di quello previsto. Il risultato è che un buffer molto piccolo viene utilizzato come se fosse gigantesco ed è da li che il tutto collassa.

La vulnerabilità si manifesta quando un parser NTFS accetta delle immagini costruite ad hoc, dall’estensione del file. .zip o .7z possono essere interpretati come NTFS se la firma viene riconosciuta. Il flusso di esecuzione diventa quindi pericoloso:

• allocazione _inBuf errata (1 byte)
• scrittura di dati compressi fino a 256 MB
• sovrascrittura heap immediata

Il punto più critico è che la l’operazione di lettura scrive dei dati controllati dall’attaccante direttamente nell’heap e questo porta ad una corruzione di oggetti interni e al possibile dirottamento della vtable.

Sui sistemi x86 e x64, questo comportamento cambia nei dettagli, ma non nella sostanza, infatti l’overflow si verifica comunque. Su macchine con sufficiente memoria l’allocazione dell’output buffer da 8 GB può andare a buon fine, lasciando comunque aperta la strada alla corruzione.

La ricerca è attribuita al team GHSL della GitHub Security Lab e al ricercatore Jaroslav Lobačevski, che ha documentato l’intera catena di exploit fino al controllo della memoria heap.

Luigi Zullo

Ricercatore di sicurezza informatica con esperienza nell’analisi delle vulnerabilità, nella mitigazione del rischio cyber, nelle attività di red teaming ed ethical hacking e nella protezione di sistemi complessi. Specializzato in penetration testing e Threat Intelligence, contribuisce al rafforzamento della resilienza digitale di infrastrutture e reti aziendali.

Aree di competenza: Penetration Testing, Threat Intelligence, Red Teaming, Vulnerability Assessment, Incident Response