Une faille critique dans 7-Zip permet l’exécution de code à distance : êtes-vous à l’abri ?

Aujourd’hui, on va parler d’une faille critique qui risque bien de faire des vagues. Vous utilisez 7-Zip ? Alors, lisez attentivement ce qui suit.

Une vulnérabilité critique a été découverte dans les versions antérieures à 7-Zip 24.07, permettant aux attaquants d’exécuter du code arbitraire sur votre ordinateur. Oui, vous avez bien lu, du code arbitraire ! Le souci vient de l’implémentation de la décompression Zstandard, qui provoque un débordement d’entier (integer overflow). 

Pour mieux comprendre, un dépassement d’entier, ou « integer overflow », se produit en informatique lorsqu’une opération mathématique génère une valeur numérique qui dépasse la capacité de stockage allouée. En d’autres termes, l’espace de stockage n’est pas suffisant pour représenter cette valeur, ce qui peut entraîner des erreurs et des vulnérabilités dans les systèmes. En gros, c’est comme si quelqu’un pouvait entrer chez vous simplement parce que votre serrure est défectueuse.

7-Zip, l’une des applications de compression de fichiers les plus utilisées au monde, est sous le feu des projecteurs. Cette vulnérabilité, enregistrée sous le nom CVE-2024-11477, affecte toutes les versions antérieures à 7-Zip 24.07. Le problème se trouve dans le module de décompression Zstandard, où une mauvaise validation des données peut provoquer un débordement d’entier, créant ainsi une brèche facilitant l’accès non autorisé au système.

L’exploitation se produit lorsque des fichiers spécialement conçus sont manipulés pour tirer parti de cette faille. En interagissant avec ces fichiers, l’attaquant peut exécuter du code dans le contexte de l’utilisateur actuel, compromettant potentiellement des systèmes entiers.

Cette vulnérabilité a été découverte en juin 2024 par Trend Micro Security et sa Zero Day Initiative (ZDI), et a reçu un score CVSS de 7.8, la classant comme une menace de haute gravité. Même si cela nécessite une interaction de l’utilisateur, comme l’ouverture d’un fichier, le risque élevé provient de l’accès facile à ces fichiers via les e-mails ou le partage de fichiers.

Le danger ici réside dans la vaste base d’utilisateurs de 7-Zip, incluant tant des particuliers que des entreprises. Malgré un correctif sorti dans la version 24.07 et une amélioration dans la version 24.08, nombreux sont ceux qui ignorent le problème à cause de l’absence de mises à jour automatiques.

Les experts en sécurité conseillent vivement de mettre à jour manuellement le logiciel vers la dernière version disponible pour corriger cette vulnérabilité. De plus, les développeurs intégrant 7-Zip dans leurs systèmes doivent immédiatement procéder à des mises à jour.

Voilà, maintenant vous êtes informés ! Ne prenez pas cette menace à la légère et mettez à jour votre 7-Zip dès que possible. Restez en sécurité et à bientôt pour d’autres nouvelles en cybersécurité