7-Zip 存在高危漏洞,可致远程代码执行——请立即升级至 25.01 版

7-Zip 用户需尽快更新。安全研究人员近日披露两个高危漏洞(CVE-2025-11001 和 CVE-2025-11002),攻击者可通过诱导用户打开恶意 ZIP 文件,在目标系统上执行任意代码。

7-Zip 存在高危漏洞,可致远程代码执行——请立即升级至 25.01 版插图

这两个漏洞由 Trend Micro 旗下的 Zero Day Initiative(ZDI)于 10 月 7 日公开披露,但实际修复早在 2025 年 7 月就已随 7-Zip 25.00 版发布。当前最新稳定版本为 25.01(2025 年 8 月发布)。

漏洞原理:符号链接导致目录遍历

问题出在 7-Zip 解析 ZIP 文件中符号链接(symbolic links)的方式。攻击者可构造特殊存档,在用户解压时绕过目标文件夹限制,将文件写入系统其他位置——例如覆盖可执行文件或植入恶意脚本。

若配合其他技术,攻击者可在当前用户权限下执行任意代码。ZDI 将其归类为“目录遍历导致的远程代码执行”,CVSS 基础评分为 7.0(高危)。

虽然攻击需要用户交互(如手动解压文件),但门槛极低:只需打开一个看似无害的压缩包即可触发。

为何风险被低估?

  • 修复早于披露:漏洞在 7 月已修复,但直到 10 月才公开细节,意味着大量用户在不知情下暴露数月。
  • 无自动更新机制:7-Zip 需手动下载安装,许多用户长期使用旧版便携版。
  • 企业环境易被忽略:由于不通过 Windows Installer 或标准软件仓库部署,常被补丁管理系统遗漏。

这并非 7-Zip 今年首次曝出严重问题。今年早些时候,CVE-2025-0411 曾允许恶意 ZIP 绕过 Windows 的“来自互联网”安全标记,使系统误判下载文件为本地可信内容。该漏洞已在 24.09 版中修复。

如何防护?

  1. 立即升级至 7-Zip 官网 提供的 25.01 或更高版本
  2. 安装程序会保留原有设置,无需重新配置。
  3. 在更新前,切勿解压来源不明的压缩文件,尤其是通过邮件、论坛或社交媒体接收的 ZIP/RAR 包。
7-Zip 存在高危漏洞,可致远程代码执行——请立即升级至 25.01 版插图1
下载地址
夸克
密码:8r5f

评论