7-Zip vulnerabile: exploit tramite link simbolici consente di iniettare codice malevolo

Due vulnerabilità critiche nell’archiviatore 7-Zip consentivano l’esecuzione di codice remoto durante l’elaborazione di file ZIP. Le falle riguardano il modo in cui il programma gestisce i collegamenti simbolici all’interno degli archivi, consentendo l’attraversamento delle directory e la sostituzione dei file di sistema.

I problemi sono tracciati con gli identificatori CVE-2025-11002 e CVE-2025-11001. In entrambi i casi, un aggressore deve semplicemente preparare un archivio ZIP con una struttura speciale, inclusi link che puntano a directory esterne.

Quando una versione vulnerabile di 7-Zip decomprime tale archivio, il programma segue il link ed estrae il contenuto oltre la cartella di destinazione. Ciò consente la sostituzione o l’iniezione di componenti dannosi in aree critiche del sistema.

Un potenziale attacco potrebbe apparire così: viene creato un archivio contenente un elemento che fa riferimento, ad esempio, a una libreria dannosa nella directory system32. Se un file di questo tipo viene decompresso da un processo con privilegi di amministratore, la libreria viene inserita nella directory di sistema e può essere avviata automaticamente, tramite un’utilità di pianificazione o quando viene caricato un modulo necessario. Lo sfruttamento non richiede privilegi elevati; è sufficiente l’interazione dell’utente con l’archivio dannoso.

Secondo i team di ricerca, la minaccia è particolarmente pericolosa per i sistemi aziendali in cui i file ZIP vengono elaborati automaticamente, ad esempio durante i backup, la condivisione di file o l’installazione di aggiornamenti. In tali scenari, l’iniezione di codice arbitrario potrebbe compromettere l’intera infrastruttura.

Gli sviluppatori di 7-Zip hanno risolto le vulnerabilità nella versione 25.00. L‘aggiornamento implementa un controllo rigoroso del percorso e blocca i link simbolici che si estendono oltre la directory di estrazione. Gli autori del problema sono stati avvisati il 2 maggio 2025, con una correzione pubblicata il 5 luglio e un annuncio pubblico il 7 ottobre.

Gli esperti raccomandano di installare la versione più recente del programma e di controllare i sistemi che decomprimono automaticamente gli archivi. I segnali di un hack possono includere la presenza di librerie o file eseguibili sconosciuti in directory protette e la presenza di file ZIP con percorsi sospettosamente lunghi.

Mantenere il software aggiornato, controllare i registri delle transazioni e filtrare i contenuti degli archivi rimangono difese affidabili contro tali attacchi.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Agostino Pellegrino

E’ un libero professionista, insegnante e perito di informatica Forense, Cyber Security ed Ethical Hacking e Network Management. Ha collaborato con importanti istituti di formazione a livello internazionale e ha esercitato teaching e tutorship in tecniche avanzate di Offensive Security per la NATO ottenendo importanti riconoscimenti dal Governo degli Stati Uniti. Il suo motto è “Studio. Sempre”.

Aree di competenza: Cybersecurity architecture, Threat intelligence, Digital forensics, Offensive security, Incident response & SOAR, Malware analysis, Compliance & frameworks