Popüler bir dosya sıkıştırma ve arşivleme yardımcı programı olan Winzip’te yeni keşfedilen bir güvenlik açığı, siber güvenlik uzmanları arasında alarmlar verdi.
CVE-2025-1240 olarak tanımlanan bu kritik kusur, uzak saldırganların belirli koşullar altında bir kurbanın sisteminde keyfi kod yürütmesine izin verir. Kullanıcılara riski azaltmak için yazılımlarını güncellemeleri şiddetle tavsiye edilir.
Güvenlik Açığının Temel Ayrıntıları
ZDI-25-047 ve ZDI-CAN-24986 altında açıklanan güvenlik açığı, 7Z dosyalarının ayrıştırılmasındaki bir sorun olan bir sorundan kaynaklanmaktadır-sıkıştırılmış arşivlerle ilişkili bir dosya formatı.
Kullanıcı tarafından sağlanan verilerin uygunsuz doğrulanması, saldırganların mevcut işlemde potansiyel olarak kötü amaçlı kod yürütmesini sağlayan sınır dışı bir yazma ile sonuçlanabilir.
Bu kusur, ciddiyetini ve gizlilik, dürüstlük ve kullanılabilirlik üzerindeki potansiyel etkisini yansıtan 7.8 (yüksek) CVSS puanı kazanmıştır.
Saldırının başarılı olması için, kötü niyetli bir 7z dosyası açmak veya bir barındırma web sayfasını ziyaret etmek gibi kullanıcı etkileşimi gereklidir.
Kullanıcı etkileşimi gerektirmesine rağmen, keyfi kod yürütme olasılığı, özellikle başarılı bir şekilde sömürülürse tam sistem uzlaşmasına yol açabileceğinden, bu güvenlik açığını son derece tehlikeli hale getirir.
Sıfır Gün Girişimi tarafından yapılan bir rapora göre, güvenlik açığı başlangıçta 4 Eylül 2024’te satıcı Winzip Computing’e bildirildi.
Aylar süren soruşturma ve iyileştirme çabalarının ardından Winzip 29.0’ın bir parçası olarak resmi bir yama yayınlandı.
Danışma, 20 Ocak 2025’te kamuya açıklandı ve daha sonra 11 Şubat 2025’te daha fazla açıklama içerecek şekilde güncellendi.
Sorunu ele almak için kullanıcıların yazılımlarını Winzip 29.0 veya daha sonra güncellemeleri şiddetle tavsiye edilir.
Güncelleme, ayrıştırma mekanizmasına düzeltmeleri içerir ve 7Z dosyalarının daha iyi doğrulanmasını ve güvenli bir şekilde işlenmesini sağlar.
Kusurun keşfi anonim bir araştırmacıya yatırıldı.
Olay, özellikle Winzip gibi yaygın olarak kullanılan kamu hizmetleri için yazılım güvenliğini sağlamak için kalıcı ihtiyacını vurgulamaktadır.
Siber tehditler geliştikçe, kullanıcılar güvenlik yamalarının uygulanmasında uyanık ve proaktif kalmalıdır.
Investigate Real-World Malicious Links & Phishing Attacks With Threat Intelligence Lookup - Try for Free