Вредоносные архивы ZIP и 7z могут привести к выполнению кода в системе

Олег Иванов 06 Июня 2018 - 10:26

...

Вредоносные архивы ZIP и 7z могут привести к выполнению кода в системе

Вредоносные файлы архивов могут быть использованы злоумышленником для эксплуатации уязвимости, которая позволяет перезаписывать документы и данные, находящиеся в файловой системе компьютера. Эта же брешь может также привести к удаленному выполнению кода.

Проблема получила название «Zip Slip», ее обнаружили эксперты из Snyk, она затрагивает следующие форматы файлов: zip, .tar, .war, .cpio и .7z.

Баги были найдены в коде библиотек, написанных разработчиками Apache, Oracle и другими, что ставит под угрозу тысячи приложений. В настоящее время выпущены патчи библиотек, это значит, что разработчики продуктов, использующих небезопасный код, должны обновить свои программы.

В случае открытия пользователем вредоносного архива, который эксплуатирует данную брешь, атакующий может выполнить набор команд и перезаписать данные, фактически это позволит установить вредоносные программы в систему.

По словам исследователей из Snyk, ошибки присутствуют в коде, который распаковывает сжатые архивы. Если программа неверно обрабатывает имена файлов в архиве, киберпреступник могут установить свой путь для распаковки. При извлечении такого файла он перезапишет данные в том месте, куда его извлекут.

В случае атаки это поможет злоумышленнику скопировать файл в системный каталог или другое место, к которому у него нет обычного доступа. Таким образом, атакующий может заменять системные файлы, либо помещать файлы вредоносных сценариев в системные папки.

Эксперты опубликовали видео, доказывающее концепцию этой уязвимости:

Также специалисты опубликовали код Java, использующий уязвимую библиотеку:

1: Enumeration<ZipEntry>entries = zip.getEntries(); 
2: while(entries.hasMoreElements()){
3: ZipEntry e = entries.nextElement();
4: File f = new File(dir, e.getName());
5: InputStream input = zip.getInputStream(e);
6: IOUtils.copy(input, write(f));
7: }

Среди продуктов, использующих уязвимые библиотеки, есть такие, как платформа Google Cloud, набор программного обеспечения Oracle, Amazon CodePipeline, IBM DataPower, Alibaba JStorm и Twitter Heron.

Следующая главная новость »

Ошибка в настройках стоит дорого: как управлять конфигурациями?
Регистрируйтесь на эфир!

Екатерина Быстрова 17 Июня 2026 - 10:14

Домашние пользователи Безопасные браузеры Mozilla

Firefox 152 научился быстро отключать шумные вкладки через адресную строку

Mozilla выпустила Firefox 152, и в этот раз обновление оказалось заметно интереснее стандартного набора фиксов. Разработчики серьёзно переработали настройки браузера, добавили новые инструменты для приватности и упростили жизнь тем, кто регулярно открывает по несколько десятков вкладок одновременно.

Главное изменение — полностью обновлённый раздел настроек. В Mozilla обещают более понятную структуру, упрощённую навигацию и логичное распределение параметров по категориям. Идея простая: меньше блужданий по меню и быстрее доступ к нужным функциям.

Не забыли и про приватность. Теперь Firefox умеет автоматически предлагать временно ослабить защиту от трекеров для конкретного сайта, если из-за строгих настроек страница работает некорректно. Вместо поиска нужного переключателя в меню браузер сам покажет предложение перезагрузить сайт с более мягкими ограничениями.

Ещё одна любопытная функция пригодится тем, кто регулярно теряет источник неожиданного звука среди десятков вкладок. В адресной строке теперь можно ввести команды mute, shush или sssh, после чего Firefox мгновенно отключит звук во всех вкладках сразу.

Пользователи Windows и Linux получили возможность копировать ссылку на вкладку прямо из контекстного меню, не открывая страницу. Кроме того, в браузере появилась новая кнопка Send Tab, которую можно добавить на панель инструментов.

Расширились и возможности встроенного переводчика Firefox Translations. Браузер получил поддержку баскского и галисийского языков, а также новые словари проверки орфографии для турецкого, персидского, валлийского, хорватского, тамильского и грузинского языков.

Для любителей экспериментов Mozilla добавила в Firefox Labs поддержку JPEG XL — современного графического формата, который должен обеспечивать более эффективное сжатие изображений по сравнению с JPEG, PNG, GIF и даже WebP.

В список прочих изменений вошли улучшенная работа с PDF-файлами, более гибкое масштабирование страниц, доработки поддержки ключей доступа (passkey) через WebAuthn и новые возможности для веб-уведомлений.

Заодно Mozilla впервые опубликовала публичную дорожную карту Firefox, чтобы пользователи могли заранее видеть, какие функции готовятся к выходу в следующих версиях браузера.

Ошибка в настройках стоит дорого: как управлять конфигурациями?
Регистрируйтесь на эфир!