В 7-Zip нашли критическую дыру: архив может превратиться в запуск кода

В 7-Zip нашли критическую дыру: архив может превратиться в запуск кода

В 7-Zip нашли критическую дыру: архив может превратиться в запуск кода

В популярном архиваторе 7-Zip нашли критическую уязвимость. Баг позволяет вызвать сбой приложения или добиться выполнения произвольного кода. Брешь получила идентификатор CVE-2026-48095 и затрагивает 7-Zip 26.00. Исследователи уже опубликовали технические детали и демонстрационный эксплойт.

Обнаружил её Ярослав Лобачевский из GitHub Security Lab. Проблема находится в обработчике NTFS-архивов.

Из-за ошибки при расчёте размера буфера 7-Zip может выделить под данные всего 1 байт, а затем попытаться записать туда 256 МБ контролируемых атакующим данных.

В результате данные вылезают за пределы буфера и начинают перезаписывать соседние участки памяти. По данным специалистов, уже после 304 байт может быть повреждён указатель vtable, а дальше появляется возможность перехватить выполнение кода.

Особенно неприятно то, что атакующему не обязательно маскировать файл под NTFS-образ в лоб. 7-Zip использует определение формата по сигнатурам и при распаковке может перебрать разные обработчики. Поэтому специально созданный файл можно выдать за .7z, .zip или .rar, а уязвимый обработчик всё равно может сработать.

Риск повышает и то, что в открытом доступе уже есть Python-генератор тестового файла для эксплуатации бага. Это не значит, что всех прямо сейчас массово атакуют, но порог входа для злоумышленников стал заметно ниже.

Айфоны в России не превратят в кирпичи: Минцифры развеяло слухи

Минцифры России официально заявило, что отключать iPhone в стране никто не собирается. Ни у самого ведомства, ни у других госорганов, ни у операторов связи попросту нет полномочий прекращать обслуживание устройств конкретного бренда.

Так министерство ответило на запрос депутата Владимира Плякина. Тот попросил разъяснить судьбу техники Apple на фоне публикаций о возможных ограничениях, если компания не выполнит требования российского законодательства.

Ответ оказался куда спокойнее слухов: действующие законы не позволяют превратить айфоны россиян в бесполезные кирпичи одним нажатием условной красной кнопки.

«Действующим законодательством не предусмотрены полномочия по прекращению связи для оборудования конкретных производителей», — подчеркнули в Минцифры.

Правда, без нового реестра гаджетов всё же не обойдётся. Недавние поправки в закон «О связи» предусматривают создание базы идентификаторов пользовательского оборудования. Нормы о ней вступят в силу 1 марта 2027 года.

Пока окончательные правила работы системы не определены. Правительству и Минцифры ещё предстоит утвердить, какие сведения попадут в базу, кто будет её наполнять и какие ведомства получат к ней доступ. Сейчас министерство только готовит проекты необходимых нормативных актов.

Иными словами, реестр устройств действительно появится, но знак равенства между ним и массовым отключением iPhone ставить рано. По крайней мере, действующее законодательство такого сценария не предусматривает.

RSS: Новости на портале Anti-Malware.ru