Există sau nu există o vulnerabilitate în 7-zip

Mulți sunt îngrijorați de faptul că proiectele critice depind de biblioteci open source menținute cu puține resurse și chiar mai puțini dezvoltatori. Sunt ținta perfectă pentru greșelile din neglijență sau răutate.

Ce este 7-Zip?

7-Zip este un software de compresie a fișierelor open source . A început să fie dezvoltat de Igor Pavlov în 1999. De-a lungul timpului, a devenit alternativa gratuită la soluțiile proprietare precum WinZip sau WinRar pentru comprimarea și decomprimarea fișierelor. Este folosit atât de utilizatorii individuali, cât și de companiile de dezvoltare de software.

Pe lângă formatul propriu care oferă o rată de compresie mai bună decât alternativele comerciale , este compatibil, printre altele, cu următoarele formate:

• XZ
• BZIP2
• GZIP
• GUDRON
• ZIP
• WIM
• ARJ
• TAXI
• CHM
• CPIO

Printre avantajele utilizării acestuia se numără:

• Rată de compresie ridicată: Formatul nativ 7z are algoritmi de compresie care oferă rapoarte de compresie mult mai bune, utile pentru lucrul cu cantități mari de date.
• Integrare cu Windows Shell: Programul se integrează cu meniul contextual Windows, facilitând accesul utilizatorilor la funcții făcând clic dreapta pe fișier.
• Securitate: 7-Zip permite criptarea fișierelor folosind AES-256. Este posibil să-l decriptați doar folosind parola.
• Disponibil pentru Linux în depozite. De asemenea, pe alte sisteme bazate pe Unix.

Problema (presupusă) de securitate

Să începem prin a spune că atunci când vorbim despre un exploit zero-day, ne referim la o defecțiune a software-ului care este necunoscută dezvoltatorilor și utilizatorilor . Ne referim la vulnerabilități care pot fi exploatate de criminalii informatici care le folosesc pentru a obține acces neautorizat sistemelor și să obțină informații sau să provoace daune.

Se pare că pe rețeaua de socializare a lui Elon Musk, un utilizator care se identifică drept „NSA_Employee39”  a susținut că cea mai recentă versiune a 7-ZIP are un exploit zero-day care atunci când utilizatorul comprimă sau decomprimă un fișier, permite înainte de a executa cod arbitrar. Problema este decodorul LZMA. Și, aici mergem cu o altă explicație.

LZMA este un acronim pentru ceva ce în romnă îl putem traduce prin „Algoritmul lanțului Lempel-Ziv Markov”. Este algoritmul pe care 7-Zip și alte programe îl folosesc pentru a comprima fișierele. După cum sugerează și numele, un decodor LZMA inversează procesul prin reconstruirea fișierului original.

Ei neagă vulnerabilitatea în 7-Zip

În secțiunea erori a forumului de discuții al proiectului, Igor Pavlov a negat postarea:

„Acest raport de pe Twitter este fals. Nu înțeleg de ce acest utilizator de Twitter a făcut o astfel de declarație..»

Nu intenționez să aprofundez în discuția tehnică ulterioară dintre utilizatorul X și Pavlov. Practic, dezacordul este că reclamantul susține că vulnerabilitatea se află într-o funcție pe care dezvoltatorul insistă că programul nu o folosește.

Momentan nu există confirmări independente ale existenței vulnerabilității.

Ce putem face?

În cazul lui 7-Zip va trebui să așteptăm să vedem ce fac distribuțiile Linux pe care le folosim. Acestea sunt de obicei destul de rapide pentru a elibera patch-uri dacă sunt necesare. În ceea ce privește exploatările în general. Putem urma aceste sfaturi:

• Păstrați software-ul actualizat: în general, majoritatea vulnerabilităților care sunt descoperite sunt descoperite de cercetători, astfel încât actualizările sunt disponibile înainte de a putea fi exploatate de criminali. Cel mai bine este să activați actualizările automate.
• Utilizați pachete autonome: pachetele în formatele Snap, Flatpak și Appimage nu se conectează la părțile critice ale sistemului de operare. În plus, acestea tind să fie actualizate mai frecvent decât programele din depozite.
• Faceți copii de rezervă: deși este mai bine să fiți în siguranță. În cazul în care apar atacuri, este bine să aveți un plan de rezervă.