De ontwikkelaar van de populaire archiveringssoftware 7-Zip heeft begin dit jaar stilletjes een buffer overflow-kwetsbaarheid en ander beveiligingslek in het programma gedicht, zonder dit te melden in de releasenotes of op andere manier aan gebruikers te laten weten. Dat meldt beveiligingsonderzoeker Maxim Suhanov die de twee kwetsbaarheden ontdekte en vorig jaar al aan de 7-Zip-ontwikkelaar rapporteerde. Details heeft hij nu openbaar gemaakt.

De eerste kwetsbaarheid (CVE-2023-52168) betreft een buffer overflow in de 'NTFS handler' van 7-Zip. Volgens Shanov kan een aanvaller hierdoor code uitvoeren, maar is dit beveiligingslek zeer lastig te misbruiken. In dit geval zou een aanvaller het doelwit een malafide archiefbestand moeten laten openen. De tweede kwetsbaarheid is ook in de NFTS handler aanwezig en maakt een out-of-bounds read mogelijk. Dit zou vooral een probleem zijn voor webservices waarbij gebruikers bestanden kunnen uploaden die op de server via 7-Zip worden verwerkt.

Beide kwetsbaarheden werden vorig jaar augustus aan 7-Zip-ontwikkelaar Igor Pavlov gerapporteerd. Die kwam op 31 januari van dit jaar met versie '24.01 beta', waarin de problemen zijn opgelost. "Beide kwetsbaarheden zijn stilletjes verholpen", aldus Suhanov. "Er is geen advisory (of een gerelateerde vermelding in de change log) uitgegeven." Beide beveiligingslekken worden inderdaad niet in de change log of op een andere plek op de 7-Zip-website genoemd.