🟠 CVE-2026-48095: High Schwachstelle

„`html

Zusammenfassung

CVE-2026-48095 beschreibt eine kritische Heap-Buffer-Overflow-Schwachstelle in 7-Zip Version 26.00 und älteren Versionen. Die Anfälligkeit liegt in der NTFS-Compressed-Stream-Verarbeitung und ermöglicht potenziell Remote Code Execution (RCE) oder Denial of Service (DoS). Der CVSS-Score von 8.8 (High) unterstreicht die erhebliche Sicherheitsbedrohung.

Betroffene Systeme

Betroffen sind alle Systeme mit 7-Zip Version 26.00 und älteren Versionen, insbesondere:

• Windows-Systeme (32-Bit und 64-Bit)
• Linux-Distributionen mit 7-Zip-Installation
• macOS-Systeme
• Anwendungen, die 7z.dll als Komponente nutzen

Der NTFS-Handler ist standardmäßig aktiviert und wird automatisch durch Signatur-Matching („NTFS“ bei Offset 3) angewendet, unabhängig von der Dateierweiterung.

Technische Details

Die Schwachstelle entsteht durch eine Underallocation des Compression-Unit-Buffers in CInStream::GetCuSize(). Die fehlerhafte Berechnung (UInt32)1 << (BlockSizeLog + CompressionUnit) führt bei Eingabewerten ClusterSizeLog ≥ 28 und CompressionUnit = 4 zu einem Bit-Shift um 32 Positionen. Dies resultiert in undefined behavior (UB) und führt zu einer Allokation von lediglich 1 Byte statt der erforderlichen Größe.

Nachfolgend schreibt ReadStream_FALSE() bis zu 256 MB angreifer-kontrollierter Daten in iterativen 64-KB-Blöcken in diesen 1-Byte-Buffer. Da das CInStream-Objekt nur 304 Bytes nach _inBuf positioniert ist, wird dessen Virtual-Method-Table (VTable) überschrieben. Dies ermöglicht einen VTable-Hijack bei der nächsten virtuellen Methoden-Aufru­fung.

Auf 32-Bit-Systemen ist die Anfälligkeit garantiert erreichbar; auf 64-Bit-Systemen erfordert sie die erfolgreiche Allokation eines parallelen 8-GB-_outBuf-Puffers, ansonsten tritt nur DoS auf.

Empfohlene Massnahmen

• Sofortiges Update: Upgrade auf 7-Zip Version 26.01 oder aktueller durchführen
• Eingabevalidierung: NTFS-Archive aus nicht vertrauenswürdigen Quellen meiden
• Isolation: Archive in isolierten Umgebungen extrahieren
• Monitoring: Logs auf verdächtige 7-Zip-Aktivitäten überwachen

Bewertung

Diese Schwachstelle stellt eine kritische Bedrohung dar. Die Kombination aus Standardaktivierung, Netzwerk-Zugangsvektor und RCE-Potenzial erfordert sofortiges Handeln. Ein Patch ist verfügbar und sollte umgehend eingespielt werden.

„`