Вредоносные архивы ZIP и 7z могут привести к выполнению кода в системе

Олег Иванов 06 Июня 2018 - 10:26

...

Вредоносные архивы ZIP и 7z могут привести к выполнению кода в системе

Вредоносные файлы архивов могут быть использованы злоумышленником для эксплуатации уязвимости, которая позволяет перезаписывать документы и данные, находящиеся в файловой системе компьютера. Эта же брешь может также привести к удаленному выполнению кода.

Проблема получила название «Zip Slip», ее обнаружили эксперты из Snyk, она затрагивает следующие форматы файлов: zip, .tar, .war, .cpio и .7z.

Баги были найдены в коде библиотек, написанных разработчиками Apache, Oracle и другими, что ставит под угрозу тысячи приложений. В настоящее время выпущены патчи библиотек, это значит, что разработчики продуктов, использующих небезопасный код, должны обновить свои программы.

В случае открытия пользователем вредоносного архива, который эксплуатирует данную брешь, атакующий может выполнить набор команд и перезаписать данные, фактически это позволит установить вредоносные программы в систему.

По словам исследователей из Snyk, ошибки присутствуют в коде, который распаковывает сжатые архивы. Если программа неверно обрабатывает имена файлов в архиве, киберпреступник могут установить свой путь для распаковки. При извлечении такого файла он перезапишет данные в том месте, куда его извлекут.

В случае атаки это поможет злоумышленнику скопировать файл в системный каталог или другое место, к которому у него нет обычного доступа. Таким образом, атакующий может заменять системные файлы, либо помещать файлы вредоносных сценариев в системные папки.

Эксперты опубликовали видео, доказывающее концепцию этой уязвимости:

Также специалисты опубликовали код Java, использующий уязвимую библиотеку:

1: Enumeration<ZipEntry>entries = zip.getEntries(); 
2: while(entries.hasMoreElements()){
3: ZipEntry e = entries.nextElement();
4: File f = new File(dir, e.getName());
5: InputStream input = zip.getInputStream(e);
6: IOUtils.copy(input, write(f));
7: }

Среди продуктов, использующих уязвимые библиотеки, есть такие, как платформа Google Cloud, набор программного обеспечения Oracle, Amazon CodePipeline, IBM DataPower, Alibaba JStorm и Twitter Heron.

Следующая главная новость »

Атаки на цепочку поставок: как защититься до компрометации?
Регистрируйтесь на эфир!

Екатерина Быстрова 20 Апреля 2026 - 13:12

Соответствие законодательству РФ Корпорации Государство Защита критически важных объектов Соответствие требованиям регуляторов

Минцифры готовит штрафы за срыв перехода на доверенные ПАК на объектах КИИ

Минцифры готовит новые штрафы для тех, кто затянет переход на доверенные программно-аппаратные комплексы на объектах критической информационной инфраструктуры. Речь идёт о поправках в КоАП, которые ведомство разрабатывает по поручению вице-премьера Дмитрия Григоренко.

Санкции хотят распространить на госорганы, госкомпании и организации с госучастием, если они не уложатся в установленные сроки перехода.

Сама логика у государства здесь довольно жёсткая: значимые объекты КИИ должны поэтапно уходить от иностранных решений и переходить на доверенные отечественные ПАК. Этот курс был закреплён ещё раньше, а финальной точкой сейчас считается 1 января 2030 года — именно к этой дате на таких объектах должен быть завершён переход.

Если поправки примут в текущем виде, наказывать будут не только за срыв сроков, но и за нарушения при определении самих объектов КИИ. По информации СМИ, за несоблюдение порядка определения объектов и за неустранение нарушений после проверки регулятора должностным лицам может грозить штраф от 10 тыс. до 50 тыс. рублей, а юрлицам — от 50 тыс. до 100 тыс. рублей.

За нарушение сроков или порядка перехода на российское ПО и доверенные ПАК санкции предлагаются заметно серьёзнее: от 100 тыс. до 200 тыс. рублей для должностных лиц и от 300 тыс. до 700 тыс. рублей для компаний.

При этом тема штрафов обсуждается уже не первый месяц. Ещё в ноябре 2025 года глава Минцифры Максут Шадаев говорил, что для компаний, которые решат «пересидеть» импортозамещение и дождаться возвращения зарубежных вендоров, могут ввести и оборотные штрафы. Тогда речь шла о более жёстком сценарии для тех, кто не классифицирует значимые объекты КИИ и не переводит их на российские решения.

Пока, впрочем, в центре обсуждения именно новая административная ответственность, а не оборотные санкции. И здесь есть важный нюанс: участники рынка указывают, что без чёткой и прозрачной методологии инвентаризации ИТ-ландшафта КИИ штрафная система может работать довольно странно.

Проще говоря, если регулятор и сами владельцы инфраструктуры не до конца понимают, какие именно активы относятся к значимым объектам и что именно надо срочно менять, штрафы сами по себе проблему не решат. Эта критика звучит на фоне того, что процесс классификации и мониторинга перехода до сих пор считают не самым прозрачным.

С другой стороны, у сторонников ужесточения тоже есть аргументы. По оценкам экспертов, переход на новые ПАК у части заказчиков идёт тяжело, а общий уровень импортозамещения на таких объектах всё ещё далёк от стопроцентного. На этом фоне желание государства подстегнуть процесс рублём выглядит вполне ожидаемо. Тем более что, по данным Минцифры, к марту 2025 года более двух третей значимых объектов КИИ госорганов и госкомпаний уже перешли на отечественное ПО.

Атаки на цепочку поставок: как защититься до компрометации?
Регистрируйтесь на эфир!