La semaine dernière, une faille de sécurité majeure a été découverte dans le logiciel de compression 7-Zip, très populaire pour la gestion des fichiers archivés.

Cette vulnérabilité, identifiée sous le code CVE-2024-11477, permet à des attaquants de prendre le contrôle d’un ordinateur simplement en faisant ouvrir à un utilisateur une archive spécialement conçue.

En détails :

• Cause de la faille : Un problème de traitement des fichiers compressés utilisant l’algorithme Zstandard, largement employé dans l’écosystème Linux. Cette faiblesse, un « integer underflow », permet l’exécution de code malveillant sur la machine cible.
• Gravité : Le score CVSS de cette vulnérabilité est de 7.8, la classant parmi les failles critiques. Bien qu’aucune exploitation active n’ait été signalée à ce jour, le risque reste élevé si la faille n’est pas corrigée.
• Systèmes affectés : Toutes les versions de 7-Zip antérieures à la version 24.07 sont concernées.

Solution immédiate :

Les développeurs de 7-Zip ont rapidement réagi en publiant une mise à jour (version 24.09). Cependant, contrairement à d’autres logiciels modernes, 7-Zip ne dispose pas de mises à jour automatiques.

Il est donc impératif que les utilisateurs téléchargent et installent manuellement la dernière version depuis le site officiel de 7-Zip.

Mesures préventives :

1. Mettez à jour votre version de 7-Zip sans attendre.
2. Méfiez-vous des archives inconnues : n’ouvrez que des fichiers provenant de sources fiables.
3. Analysez les fichiers avec un antivirus avant de les décompresser.
4. Limitez les privilèges lors de l’utilisation de 7-Zip : évitez de l’exécuter avec des droits administratifs.

Pour les administrateurs systèmes, il est crucial d’intégrer cette mise à jour dans l’ensemble des environnements utilisant 7-Zip afin d’éviter tout risque de propagation de versions vulnérables.

Pour rappel, la mise à jour se fait manuellement car 7zip n’intègre pas de mises à jour automatiques.