CVE-2022-29072深度解析：7-Zip 21.07版本权限提升漏洞全揭秘

【免费下载链接】CVE-2022-290727-Zip through 21.07 on Windows allows privilege escalation and command execution when a file with the .7z extension is dragged to the Help>Contents area.项目地址: https://gitcode.com/gh_mirrors/cv/CVE-2022-29072

CVE-2022-29072是存在于7-Zip 21.07版本及之前Windows版本中的严重安全漏洞，攻击者可通过将恶意.7z文件拖放到软件的"帮助>内容"区域实现权限提升和命令执行。本文将从漏洞原理、攻击流程到防御措施进行全面解析，帮助普通用户有效防范此类安全风险。

漏洞原理：7-Zip的致命配置缺陷

该漏洞根源在于7-zip.dll组件的错误配置。安全研究人员在分析7-Zip源码时发现，软件在调用Windows API时存在两处关键的权限验证疏漏，导致恶意文件可绕过安全限制执行代码。正常情况下，CHM帮助文件应通过hh.exe进程打开，但漏洞使得7zFM.exe直接创建子进程执行恶意 payload，这种异常的进程关系成为检测该漏洞的重要指标。

攻击流程：从文件拖放到系统控制权

攻击者利用该漏洞的完整攻击链包括三个关键步骤：

1. 恶意7z文件构造

攻击者会精心构造包含特殊HTML和JavaScript代码的.7z压缩包，这些代码通过ActiveXObject和WScript.Shell组件实现命令执行。为绕过ActiveX安全提示，攻击代码会检查并修改注册表项：HKCU:\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0下的"1201"值，将其设置为0以禁用安全警告。

2. 社会工程学诱导

受害者被诱骗将恶意.7z文件拖放到7-Zip的"帮助>内容"区域。这个看似无害的操作实际触发了漏洞利用流程，因为7-Zip错误地允许从帮助界面执行外部内容。

3. 权限提升至系统级别

成功利用后，攻击者通过psexec工具执行psexec -s cmd.exe命令，将权限提升至NT AUTHORITY\SYSTEM级别，完全控制受感染系统。这种权限提升不需要复杂的内存漏洞利用，仅通过配置缺陷即可实现，这也是该漏洞的危险之处。

检测与防御：保护系统安全的关键措施

漏洞检测方法

安全人员可通过监控进程创建事件来检测可能的漏洞利用。Sigma规则7z_CVE-2022-29072.yml提供了检测逻辑，重点关注7zFM.exe作为父进程启动cmd.exe或powershell.exe的异常行为，同时排除正常的脚本执行情况。

紧急缓解措施

在官方补丁发布前，普通用户可采取以下临时防御措施：

1. 删除CHM帮助文件：删除7-Zip安装目录下的7-zip.chm文件，阻止漏洞触发途径
2. 限制文件权限：确保所有用户对7-Zip程序文件只有读取和执行权限，无写入权限
3. 禁用ActiveX：在Internet选项中禁用ActiveX控件，降低攻击代码执行可能性

彻底解决方案

最根本的防御方法是升级7-Zip至修复该漏洞的版本。官方在后续更新中已修正7-z.dll的配置问题，消除了权限提升风险。用户应养成定期检查软件更新的习惯，及时安装安全补丁。

总结：安全意识重于泰山

CVE-2022-29072漏洞展示了即使是广泛使用的开源软件也可能存在严重安全隐患。作为普通用户，除了保持软件更新外，还应提高对不明文件的警惕性，不随意打开或拖放来源不明的压缩包。安全厂商和开发者也应加强代码审计和安全测试，从源头减少此类配置缺陷的出现。

通过本文的解析，希望读者能全面了解该漏洞的危害与防范方法，共同构建更安全的数字环境。记住，在网络安全领域，预防永远胜于治疗。

【免费下载链接】CVE-2022-290727-Zip through 21.07 on Windows allows privilege escalation and command execution when a file with the .7z extension is dragged to the Help>Contents area.项目地址: https://gitcode.com/gh_mirrors/cv/CVE-2022-29072