开源压缩软件 7-Zip 被曝严重安全漏洞-低调大师

开源压缩软件 7-Zip 被曝严重安全漏洞

2024-11-29 207

近日，知名压缩工具 7-Zip 被曝出了严重的安全漏洞，该漏洞编号为 CVE-2024-11477，允许远程攻击者执行恶意代码。

漏洞需要在用户解压缩 Zstandard 格式时才能暴露，攻击者如果制作特殊的压缩档案，并诱导用户开启就有可能激活该漏洞。

据介绍，漏洞存在于 Zstandard 解压缩的实现中。此问题由于未正确验证用户提供的数据而引发，这可能导致在写入内存之前出现整数下溢。攻击者可以利用此漏洞在当前进程的上下文中执行代码，但要利用此漏洞，需要与此库交互，但攻击媒介可能因实施而异。

根据趋势科技安全研究部的 Nicholas Zubrisky 的说法，攻击者可以通过说服用户打开精心准备的存档来利用此漏洞，这些存档可以通过电子邮件附件或共享文件分发。

Zstandard 格式在 Linux 环境中尤为普遍，通常用于各种文件系统，包括 Btrfs、SquashFS 和 OpenZFS。

漏洞影响

在受影响的系统上执行任意代码
获得与登录用户相同的访问权限
可能实现完全的系统绕过

缓解措施和修复

7-Zip 已经在 24.07 版本中解决了该问题，由于该软件缺乏集成的更新机制，用户必须手动下载并安装最新版本以保护其系统，官网地址：https://www.7-zip.org/。

开发商也提醒用户主动更新 7-Zip 以避免潜在风险。

微信关注我们

原文链接：https://www.oschina.net/news/322575/7-zip-vulnerability-arbitrary-code

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

Chrome 牵头成立「浏览器选择联盟」，目标是“反 Microsoft Edge”

近日，Chrome 联合 Opera、Vivaldi、Waterfox、Wavebox 等知名网络浏览器平台成立「浏览器选择联盟」（The Browser Choice Alliance），以对抗 Microsoft Edge 浏览器在 Windows 平台的垄断。该联盟的理念是「用户拥有 Windows 平台的浏览器选择权」（consumers should have the right to use their browser of choice on Windows devices）。在该联盟的网站中列举了 Edge 浏览器的诸多不正当竞争手段，如下载第三方浏览器时弹出安全提醒，更改默认浏览器时设置障碍，甚至在用户搜索其它浏览器时弹出「更改默认浏览器为 Edge」的提示等。更多信息查看：https://browserchoicealliance.org/ 询问AI

2024-11-29

217

复旦大学近日发布《复旦大学关于在本科毕业论文（设计）中使用AI工具的规定（试行）》，对人工智能工具在本科毕业论文（设计）撰写过程中的使用进行详细规范。《规定》明确禁止使用范围，包括“六个禁止”：禁止使用AI工具进行研究方案设计、创新性方法设计、算法（模型）框架搭建、毕业论文（设计）结构设计、研究（设计）选题、研究（设计）意义及创新性总结、研究假设提出、数据分析、结果分析与讨论和结论总结等；禁止使用AI工具生成或改动本科毕业论文（设计）中的原始数据、原创性或实验性的结果图片、图像和插图；禁止直接使用AI工具生成本科毕业论文（设计）的正文文本、致谢或其他组成部分；禁止使用AI工具进行语言润色和翻译；禁止答辩委员、评审专家使用任何AI工具对学生的本科毕业论文（设计）进行评审；本科毕业论文（设计）涉及保密内容的，禁止使用任何AI工具，禁止上传任何数据和图片到AI平台。此前，一些高校也出台了大学生用AI完成毕业论文（设计）的相关规范。中国传媒大学本科生院发布规范使用人工智能管理的通知，其中继续教育学院要求学生填写问卷详述是否使用AI，规定“如使用，须述使用方式、细节，包括模型/软...

2024-11-29

258

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。