【已复现】7-Zip 代码执行漏洞(CVE-2024-11477)安全风险通告

奇安信 CERT 2024-11-29 16:00

● 
点击↑蓝字关注我们，获取更多安全风险通告

漏洞概述
漏洞名称	7-Zip 代码执行漏洞
漏洞编号	QVD-2024-48061,CVE-2024-11477
公开时间	2024-11-20	影响量级	万级
奇安信评级	高危	CVSS 3.1分数	7.8
威胁类型	代码执行	利用可能性	高
POC状态	已公开	在野利用状态	未发现
EXP状态	未公开	技术细节状态	已公开
危害描述：攻击者可能通过构造包含特制数据或压缩内容的恶意文件并诱使目标用户解压，从而执行任意代码。

01

漏洞详情

>
>
>
>

影响组件

7-Zip 是一款免费的开源文件压缩和解压工具，支持7z、zip、rar、cab、gzip、bzip2、tar等多种压缩文件格式。

>
>
>
>

漏洞描述

近日，奇安信CERT监测到7-Zip 代码执行漏洞(CVE-2024-11477)，由于对用户提供的数据缺乏验证导致在写入内存前发生整数下溢，攻击者可能通过构造包含特制数据或压缩内容的恶意文件并诱使目标用户解压，从而执行任意代码。目前此漏洞细节和POC已在互联网公开，
建议客户尽快做好自查及防护。

---

02

影响范围

>
>
>
>

影响版本

7-Zip < 24.07

>
>
>
>

其他受影响组件

无

03

复现情况

目前，奇安信CERT已成功复现7-Zip 代码执行漏洞(CVE-2024-11477)安全风险通告，截图如下：

04

处置建议

>
>
>
>

安全更新

目前官方已有可更新版本，建议受影响用户升级至最新版本：

7-Zip >= 24.07

官方下载链接：

https://www.7-zip.org/

05

参考资料

[1]https://www.zerodayinitiative.com/advisories/ZDI-24-1532/

06

时间线

2024年11月30日，奇安信 CERT发布安全风险通告。

07

漏洞情报服务

奇安信ALPH
A威胁分析平台已支持漏洞情报订阅服务：

奇安信 CERT

致力于
第一时间为企业级用户提供权威漏洞情报和有效
解决方案。

点击↓阅读原文，到ALPHA威胁分析平台
订阅更多漏洞信息。