Eine Sicherheitslücke mit der Referenz CVE-2026-14266 betrifft die 7-Zip-Komprimierungssoftware in Versionen vor dem 26.02. Wenn das 7-Zip-Update 26.02 vom 25. Juni stammt, wurde die Existenz des Fehlers gerade erst aufgedeckt.
Was ist die Natur dieser Sicherheitslücke?
Verletzlichkeit ist eine Heap-basierter Pufferüberlaufoder Heap-basierter Pufferüberlauf. Es liegt an der Art und Weise, wie 7-Zip im XZ-Format komprimierte Daten verarbeitet.
Laut der Empfehlung der Zero Day Initiative (ZDI) von Trend Micro kann ein speziell gestaltetes XZ-Archiv diesen Speicherverwaltungsfehler auslösen.
Der vom Forscher Landon Peng entdeckte Fehler ermöglicht es einem Angreifer, Code auszuführen im Kontext des aktuellen Prozesses. Führt dies nicht zu einer Rechteausweitung, erbt der Schadcode die Rechte von 7-Zip.
Ein Fehler, der nicht als kritisch einzustufen ist…
Die Schwachstelle wird mit einem CVSS-Score von 7,0 als hoch eingestuft. Für die Ausnutzung ist eine Benutzerinteraktion erforderlich. Das bedeutet, dass das Opfer eine Aktion ausführen muss, damit der Angriff erfolgreich ist.
Der Angreifer muss das Ziel dazu verleiten, eine eingeschlossene Archivdatei zu öffnen, sei es über eine E-Mail-Phishing-Kampagne oder durch das Herunterladen einer Datei von einer bösartigen Webseite.
Die Komplexität des Angriffs wird als hoch eingeschätzt. Bisher wurde keine aktive Ausnutzung des Fehlers gemeldet. Warten Sie jedoch besser nicht und weisen Sie darauf hin, dass 7-Zip nicht über einen automatischen Update-Mechanismus verfügt.
