近期，一款廣受歡迎的壓縮工具7-Zip遭遇了一項嚴重的安全挑戰，一個被命名為CVE-2024-11477的安全漏洞被公之于眾。此漏洞的嚴重性不容小覷，CVSS評分高達7.8，被明確劃分為高危級別。
問題的根源在于7-Zip對Zstandard格式解壓縮功能的實現上存在疏漏，具體表現為對用戶輸入數據的驗證不足，從而觸發了整數下溢的隱患。在特定的情境下，這一漏洞可能被利用來在當前進程的上下文中執行惡意代碼。
Zstandard格式因其高效性，在Linux環境中有著廣泛的應用，特別是在諸如Btrfs、SquashFS和OpenZFS等文件系統中。攻擊者可能會利用這一漏洞，通過誘導用戶打開經過精心設計的惡意存檔文件來實施攻擊。這些存檔文件可能會偽裝成電子郵件附件或共享文件，誘導用戶下載并打開。
一旦成功利用此漏洞，攻擊者將能夠在目標系統上執行任意代碼，其權限等同于當前登錄用戶的權限。更糟糕的是，攻擊者甚至有可能完全繞過系統的安全機制，獲取更高的訪問權限。
幸運的是，截至目前，尚未有針對這一漏洞的惡意軟件被檢測到。7-Zip的開發團隊已經迅速響應，在24.07版本中修復了這一漏洞，并強烈建議所有用戶盡快手動下載并安裝最新版本，以確保自身安全。
這一漏洞的發現可以追溯到2024年6月，當時安全研究人員向7-Zip報告了這一問題。經過一段時間的評估和準備，這一漏洞的信息于11月20日正式向公眾披露。
