Smentita la presunta vulnerabilità emersa in 7-Zip

Intorno alla fine dell’anno, un ricercatore indipendente aveva riferito della scoperta di un preoccupante exploit zero-day nel popolare software di compressione 7-Zip. Su Twitter parlava dell’esistenza di una vulnerabilità ACE (Arbitrary Code Execution) che avrebbe potuto condurre all’esecuzione di codice malevolo semplicemente aprendo un file ZIP infetto. Tenendo conto della diffusione di 7-Zip, gli utenti a rischio avrebbero potuto essere milioni.

La vulnerabilità sembrava sfruttare una falla nella gestione dei file da parte di 7-Zip, permettendo l’esecuzione di codice non autorizzato quando un utente tenta di accedere ad archivi manomessi dai cybercriminali. In questo modo i malintenzionati avrebbero potuto installare malware sul dispositivo preso di mira o rubare file e dati sensibili dallo stesso, attraverso l’utilizzo di infostealer.

Al momento non esistono vulnerabilità note in 7-Zip

Il quadro sembrava preoccupante non solo per i comuni utenti ma anche per aziende e organizzazioni. In diversi contesti i flussi di lavoro prevedono l’estrazione automatica di file da archivi ricevuti da fonti esterne: il contesto ideale per i cybercriminali che possono così accedere a interi sistemi aziendali.

Nonostante l’attenzione mediatica che la questione relativa alla presunta falla di 7-Zip ha ricevuto, gli esperti di sicurezza informatica non sono stati in grado di replicare l’exploit. Il creatore di 7-Zip, Igor Pavlov, ha poi formalmente confermato che ad oggi non esistono vulnerabilità note nel suo software. È verosimile che il presunto exploit apparso su Twitter sia stato generato facendo ricorso all’intelligenza artificiale generativa.

I tecnici di Kaspersky hanno analizzato nel dettaglio le affermazioni pubblicate su Twitter concludendo che il codice proof-of-concept è “fasullo” o almeno derubricabile a semplice esperimento di massima. La macro RC_NORM citata è infatti sicura e la gestione di stream LZMA (algoritmo per la compressione dei dati) da parte di 7-Zip può generare errori in alcuni casi, non buffer overflow.

Un exploit zero-day è una vulnerabilità di sicurezza informatica sconosciuta agli sviluppatori di un software, che può essere sfruttata da malintenzionati per eseguire codice malevolo prima che venga rilasciata una patch correttiva. Queste falle di sicurezza rappresentano una minaccia significativa, poiché gli aggressori possono agire senza che le vittime siano consapevoli del pericolo.