7-Zip est un outil de décompression de fichiers que de nombreux utilisateurs installent comme l’une de leurs principales applications de type utilitaire pour Windows. Malheureusement, il y a deux mois, un chercheur en cybersécurité qui s’appelle LANDAVE, ou juste Dave, a découvert une faille de sécurité.
7-Zip : un logiciel polyvalent
Il supporte non seulement sa propre marque de fichiers d’archives mégacompressés avec l’extension .7z, mais a également la capacité d’extraire des données de la plupart des autres formats d’archives. Il supporte les fichiers ZIP, fichiers gzip et bzip2 classiques, archives tar et cpio Unix, fichiers CAB et MSI Windows, fichiers DMG Macintosh, images CD (ISO) et bien d’autres. 7-Zip inclut également la prise en charge des fichiers RAR, et c’est de là que vient la vulnérabilité, apparemment héritée du code open source de l’utilitaire autonome UnRAR.
Un problème important qui a presque détruit la réputation de 7-Zip
Maintenant que 7-Zip a été corrigé contre ce bug, baptisé CVE-2018-10115, LANDAVE a publié les détails de la façon dont il l’a trouvé, et ce qui était impliqué dans la détermination de la gravité du bug. Selon Dave, le problème est né d’un conflit trop commun entre la complexité et la sécurité. Le code UnRAR est complexe, car il prend en charge plusieurs types de compression et de format, y compris un système de compression spécial qui double plusieurs fichiers avant de les compresser, ce qui évite souvent de compresser chaque fichier séparément. Le format de fichier RAR inclut cette option dite solide, car elle peut améliorer la compression en permettant de faire correspondre des chaînes de caractères répétées même si elles se trouvent dans deux ou plusieurs fichiers différents, au lieu de restreindre tous les fragments de données répétés à un fichier. Lorsque vous avez beaucoup de petits fichiers mais similaires dans une archive, par exemple, cela se traduit souvent par de nombreuses correspondances de chaînes répétées, ce qui augmente le taux de compression.
Un mal qui a aidé quand même à la découverte d’autres fonctionnalités
Ce que Dave a découvert, c’est que le code de décompression UnRAR, tel qu’utilisé par 7-Zip, ne se gênait pas pour se configurer en toute sécurité lorsque vous l’utilisiez. En d’autres termes, votre logiciel pourrait entraîner une défaillance catastrophique du code RAR lui-même. Les capsules qui permettent l’exécution du shellcode sont connues sous le nom de RCE (Remote Code Execution Vulnerability), car un escroc peut utiliser un fichier malveillant, envoyé de l’extérieur, pour exécuter des logiciels malveillants sur votre ordinateur. Pour faire court, Dave n’a pas seulement découvert une vulnérabilité qui était théoriquement exploitable, il a également créé un exploit de preuve de concept (PoC) qui montrait comment créer un fichier RAR qui, une fois ouvert, ne ferait que sournoisement. De façon inattendue, lancez l’application Calculatrice. De manière générale, si un PoC peut afficher CALC.EXE sans le demander, il peut être modifié pour exécuter toute autre commande, y compris un logiciel malveillant, de manière invisible pour l’utilisateur.
Soyez le premier à commenter