7-Zip 被曝缓冲区溢出漏洞，可被用于远程执行任意代码-低调大师

7-Zip 被曝缓冲区溢出漏洞，可被用于远程执行任意代码

2026-07-21 13

安全研究机构 Zero Day Initiative 上周提交漏洞报告称，压缩软件 7-Zip 存在一项基于堆（Heap）的缓冲区溢出漏洞，ZDI 给了 7.0 分，据称黑客可利用其远程执行任意代码。

问题出在 MixCoder_Code 函数里。XZ 流通过 filter 管道输出时，解码器每次收到的不是剩余空间，而是完整的输出缓冲区长度。换句话说，它以为自己还有大把地方可写，实际上后面的字节已经不属于它了。

攻击者只需要造一个恶意的 XZ 压缩包。用户一旦解压，代码就能在当前进程的权限下执行。好在这是个本地漏洞——不能通过网络直接打，需要用户交互。Windows 下 7-Zip 默认受过滤令牌限制，即使管理员账户也不会直接拿到高权限。

发现者是 Lunbun LLC 的 Landon Peng，6 月 5 日报给 7-Zip 团队。修复版本 26.02 在 6 月 25 日就发了——比 ZDI 7 月 15 日公开 advisory 早了 20 天。截至目前没有公开的 PoC，也没有在野利用的报告。

这不是第一次了。今年 4 月的 26.01 版本修了一波内存安全漏洞，包括 NTFS handler 的堆写溢出（那个更严重，GitHub Security Lab 当时给出了可用的 PoC）。再往前翻，类似的"解压即执行"型漏洞在 7-Zip 的历史上反复出现。

参考来源：

New 7-Zip Vulnerability Could Let Crafted XZ Archives Run Code During Extraction — The Hacker News

微信关注我们

原文链接：https://www.oschina.net/news/476199

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

“画中画中画”——Qwen Image 3.0 把四层 UI 塞进了一张图

阿里巴巴发布了 Qwen Image 3.0，图像生成模型系列的第三代。如果说 1.0 的关键词是"准"，2.0 是"准、多、齐、美、真"，3.0 只给了一个字——"实"。这个"实"体现在三个维度：内容丰实：支持最大 4.5k token 输入，轻松生成报纸、分镜、试卷等复杂版面。细节真实：支持 10px 小字精准渲染，毛孔、发丝细节生动还原，逼真的微观级刻画。知识厚实：支持 12 国语言原生渲染，主流网页、游戏、直播等界面仿真，丰富的世界知识。官方给了一个很直观的演示。一张图，...

2026-07-21

13

腾讯云自研的 AI 助手 Octop 宣布正式开源，源自此前的 LightClaw ACE。"Octop" 取自章鱼（Octopus）：八爪并展、灵活多变、可同时处理多项任务。公告称，相比一次简单的品牌升级，Octop 更接近一次面向智能体时代的系统性重构：它重新梳理了用户、记忆、工具、执行环境与安全边界之间的关系，目标是让 AI 助手从“单次对话工具”演进为可长期使用、可持续扩展的个人与团队智能体助手。 “我们希望 Octop 不只是一个对话入口，而是一套面向长期协作、工具扩展和多环境部署的 AI Agent 运行体系。”...

2026-07-22

18

资源下载

更多资源

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。

WebStorm

WebStorm 是jetbrains公司旗下一款JavaScript 开发工具。目前已经被广大中国JS开发者誉为“Web前端开发神器”、“最强大的HTML5编辑器”、“最智能的JavaScript IDE”等。与IntelliJ IDEA同源，继承了IntelliJ IDEA强大的JS部分的功能。