Uma falha de estouro de buffer na heap (CVE-2026-14266) no processamento de arquivos XZ pode permitir a execução de códigos maliciosos no contexto do usuário atual, exigindo atualização imediata para a versão 26.02.
| Componente | 7-Zip (Decodificador XZ, arquivo fonte C/XzDec.c) |
| Vetor | Abertura de arquivo XZ manipulado que aciona estouro de buffer na heap durante o processamento de dados em blocos (chunked data) pela função MixCoder_Code. |
| Impacto | Execução de código arbitrário no contexto do processo do 7-Zip. No Windows, o código herda o token de usuário padrão filtrado, a menos que o aplicativo seja executado com elevação. |
| Prioridade | Atualização manual imediata para a versão 26.02 ou posterior; revisão de produtos que embarcem bibliotecas vulneráveis do 7-Zip. |
Foi identificada uma vulnerabilidade crítica de segurança no software de compactação 7-Zip, classificada como CVE-2026-14266. O problema consiste em um estouro de buffer na heap (heap-based buffer overflow) decorrente de falha no processamento de dados divididos em blocos do formato de compressão XZ. A descoberta foi detalhada pela Trend Micro através da Zero Day Initiative (ZDI), destacando que a falha permite que um invasor execute código arbitrário durante a extração de um arquivo especialmente construído para esse fim.
Embora divulgada publicamente em meados de julho, a correção para o problema já estava disponível desde 25 de junho, com o lançamento da versão 26.02 do 7-Zip. A análise do vetor CVSS 3.0 atribuiu uma pontuação de 7.0 (Alta), com o vetor AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H. A classificação AV:L indica que o ataque é local, exigindo que o arquivo malicioso seja aberto pelo usuário ou entregue através de mecanismos locais, como download ou anexo de e-mail, diferenciando-se de vetores de exploração remota sem interação (network-reachable).
O defeito técnico reside no arquivo fonte C/XzDec.c, especificamente na função MixCoder_Code.Durante a decodificação de um fluxo XZ que passa sua saída por um filtro, o decodificador recebia o comprimento total do buffer de saída em cada passagem, em vez do espaço restante após as escritas anteriores. Essa discrepância permitia que a função escrevesse dados além dos limites alocados para o buffer, criando a condição de escrita fora dos limites (out-of-bounds write) necessária para a exploração da falha.
O mecanismo de exploration depende da maneira como o 7-Zip manipula alocação de memória durante a descompressão de streams XZ complexos. Ao processar dados chunked, a função MixCoder_Code falhava subtrair a quantidade de bytes já escritos do tamanho total do buffer. Consequentemente, em iterações subsequentes, o código assumia incorretamente que havia mais espaço disponível do que o fisicamente existente na heap. A versão corrigida (26.02) implementa uma verificação em que o total de bytes em processamento é comparado constantemente com o limite do buffer, abortando a operação caso o valor exceda a capacidade alocada.
Em termos de impacto e privilégios, o código injetado é executado dentro do contexto de segurança do próprio processo 7-Zip. Em ambientes Windows, o 7-Zip, quando iniciado normalmente, opera sob um token de usuário padrão filtrado (filtered standard-user token), mesmo que a conta do usuário tenha privilégios de administrador. Isso significa que, em um cenário típico de exploração, o invasor herda esses direitos limitados e não obtém elevação automática para privilégios de administrador. No entanto, se o aplicativo for executado explicitamente com elevação de privilégios (Run as Administrator), o código malicioso herdaria esses direitos elevados, aumentando significativamente o risco de comprometimento do sistema.
Registros históricos do código-fonte indicam que o tratamento de comprimento defeituoso estava presente pelo menos desde a versão 21.07 (lançada em 2021). Embora nem a ZDI nem os desenvolvedores do 7-Zip tenham confirmado exatamente quais versões intermediárias são exploráveis, a presença prolongada do defeito sugere que uma vasta gama de builds pode ser suscetível.
A superfície de ataque inclui qualquer estáção de trabalho ou servidor que utilize o 7-Zip para abrir arquivos provenientes de fontes não confiáveis. A falha serve como um lembrete crítica sobre os riscos associados à descompressão de arquivos, especialmente em ambientes onde o fluxo de trabalho depende de troca frequente de arquivos compactados. O CVE-2026-14266 é o mais recente em uma série de bugs de segurança de memória nos manipuladores de arquivo do 7-Zip, seguindo correções anteriores em abril que abordaram problemas semelhantes no manipulador NTFS (CVE-2026-48095).
Além da instalação direta do software, organizações devem mapear produtos de terceiros e soluções de segurança que podem distribuir cópias embarcadas do decodificador XZ do 7-Zip. Essas soluções dependentes são vulneráveis até que seus fornecedores integrem a correção e lancem uma atualização própria.
- Instalações do 7-Zip em versões anteriores a 26.02 em sistemas Windows.
- Produtos de software que incluem bibliotecas estáticas ou binários do 7-Zip para descompressão de XZ.
- Ambientes onde usuários interagem com arquivos compactados recebidos via e-mail ou web.
Equipes de segurança devem priorizar a identificação da versão do 7-Zip em execução nos endpoints. A ausência de um mecanismo de atualização automática torna essencial o uso de inventários de software para detectar instalações desatualizadas (versões < 26.02). Embora não haja relatos credíveis de exploração ativa na natureza até a data desta publicação, a detecção de anomalias no comportamento do processo 7zFM.exe ou 7z.exe pode fornecer indic precoces de tentativas de exploração.
A telemetria de endpoints deve ser configurada para alertar sobre o spawn de processos suspeitos iniciados pelo 7-Zip, já que a exploração bem-sucedida resultaria na execução de código arbitrário sob o contexto desse processo. Em ambientes mais avançados, a análise de tráfego de arquivos e metadados pode ser usada para identificar arquivos XZ com estruturas de chunked异常mente complexas destinadas a estressar o decodificador.
- Escaneamento de ativos para identificar binários do 7-Zip com versão inferior a 26.02.
- Monitoramento de criação de processos filhos (child processes) originados do
7z.exeou7zFM.exeque não sejam esperados. - Verificação de logs de aplicação para falhas de acesso/exceções no módulo
7z.dlldurante operações de descompressão.
A ação corretiva primária é a atualização manual do 7-Zip para a versão 26.02 ou posterior. Como o software não possui um atualizador automático integrado, a intervenção da equipe de TI ou do usuário final é obrigatória. A atualização deve ser realizada baixando-se o instalador oficial no site do projeto, evitando-se repositórios de terceiros que possam distribuir versões comprometidas.
Práticas de defesa em profundidade devem incluir a restrição do uso de ferramentas de descompressão dentro de ambientes isolados ou sandboxeds, sempre que possível. É fundamental instruir usuários para nunca executar o 7-Zip com direitos de administrador para abrir arquivos de origem duvidosa, mitigando o risco de elevação de privilégios em caso de falha na execução segura. Para fornecedores que incorporam a biblioteca, é urgente a integração do código corrigido e a reemissão dos pacotes de seus produtos.
- Forçar atualização para 7-Zip 26.02 em toda a frota de estáções de trabalho.
- Auditar e atualizar produtos de terceiros que utilizem o binário do 7-Zip.
- Implementar políticas de execução de aplicativos (AppLocker) para impedir a execução do 7-Zip elevado por usuários finais.
- Restringir a permissão de escrita em diretórios onde ocorre a descompressão de arquivos externos.
0 Comentários