Detecção CVE-2022-29072: Falha no 7-Zip Concede Permissões Excessivas a Hackers

As versões do arquivador de arquivos 7-Zip de 21.07 têm um ponto fraco sério de segurança. O 7-Zip é uma das ferramentas mais demandadas para compactar e empacotar arquivos com uma ampla gama de formatos compatíveis, incluindo 7z, ZIP, GZIP, BZIP2 e TAR.

A vulnerabilidade rastreada como CVE-2022-29072 concede aos adversários acesso elevado e execução de comando quando um arquivo com a extensão .7z é movido para a área Ajuda > Conteúdo.

Detectar CVE-2022-29072

Use a regra Sigma abaixo desenvolvida pelos experientes especialistas da equipe SOC Prime para rastrear em tempo hábil as tentativas de exploração do CVE-2022-29072:

Possível Exploração do CVE-2022-29072 no 7-Zip (via process_creation)

Esta detecção está disponível para as 22 plataformas SIEM, EDR & XDR.

A regra está alinhada com a versão mais recente do MITRE ATT&CK® framework v.10, abordando a tática de Escalação de Privilégio com Exploração para Escalação de Privilégio (T1068) como técnica principal.

Caçando profissionalmente? Compartilhe seu conhecimento com outros especialistas em SOC, cace ameaças em mais de 25 tecnologias SIEM, EDR e XDR suportadas e veja seu conteúdo de detecção exibido na vasta biblioteca de regras da SOC Prime.

Ver Detecções Junte-se ao Threat Bounty

Análise e Mitigação CVE-2022-29072

Uma vulnerabilidade de escalação de privilégio na ferramenta de compressão de arquivos provavelmente mais utilizada deixa as portas abertas para atores de ameaças. O zero-day referido como CVE-2022-29072 surge de uma má configuração do 7z.dll e estouro de heap. A versão atual do Windows 21.07 com falhas concede aos hackers acesso não autorizado a sistemas comprometidos quando um arquivo com a extensão .7z é colocado na área Ajuda > Conteúdo. O comando gera um processo filho sob o processo 7zFM.exe.

A vulnerabilidade tem sido explorada desde 12 de abril de 2022, e atualmente, não há patches disponíveis para corrigir o bug. Por outro lado, basta excluir o arquivo 7-zip.chm no diretório de instalação do 7-Zip para solucionar esse problema. Após este procedimento simples, os cibercriminosos não podem mais explorar a falha CVE-2022-29072.

Novas ameaças exigem imediatismo de ação. SOC Prime ajuda a aumentar suas capacidades de defesa com soluções mais escaláveis. Registre-se na plataforma Detection as Code do SOC Prime para aprimorar suas capacidades de descoberta e caça de ameaças enquanto simplifica suas operações de segurança em ambientes de segurança dinâmicos.