【误差通告】7-Zip 目录穿越导致远程代码执行误差(CVE-2025-11001)

宣布时间 2025-10-16

一、误差概述


误差名称

7-Zip 目录穿越导致远程代码执行误差

CVE   ID

CVE-2025-11001

误差类型

目录穿越

发明时间

2025-10-16

误差评分

7.0

误差品级

高危

攻击向量

外地

所需权限

无

使用难度

高

用户交互

需要

PoC/EXP

已果真

在野使用

未发明


7-Zip是一款开源的文件压缩息争压缩软件，，，，，，支持多种文件名堂，，，，，，包括7z、ZIP、RAR、TAR、GZ等。。它以高压缩比和轻盈的操作界面著称，，，，，，能够有用地减小文件巨细，，，，，，同时坚持优异的压缩效率。。7-Zip使用自己的7z名堂，，，，，，该名堂具有更高的压缩率，，，，，，并支持强加密算法。。7-Zip支持跨平台操作，，，，，，除了Windows，，，，，，Linux和macOS也可以使用p7zip版本。。7-Zip提供了下令行界面和图形用户界面（GUI），，，，，，适合差别用户的需求，，，，，，普遍应用于一样平常文件压缩、加密息争压事情中。。


2025年10月16日，，，，，，南宫NG娱乐集团VSRC监测到一个影响7-Zip压缩工具的目录穿越误差（CVE-2025-11001），，，，，，该误差源于ZIP文件中符号链接（symlink）的处置惩罚方法。。攻击者可通过结构恶意ZIP文件，，，，，，使用该目录遍历误差，，，，，，导致程序会见未经授权的目录并执行恶意代码。。同时，，，，，，7-Zip压缩工具还保存另一个类似误差（CVE-2025-11002），，，，，，两个误差均允许远程攻击者在受影响的系统上执行恣意代码。。通过特制的ZIP文件，，，，，，攻击者能够使用符号链接处置惩罚缺陷，，，，，，促使程序会见本不应会见的目录，，，，，，进而执行恶意代码。。这两个误差的使用方法相似，，，，，，均可导致系统清静危害。。


二、影响规模


7-Zip < 25.00


三、清静步伐


3.1 升级版本


7-Zip官方已宣布修复补丁，，，，，，以修复该误差。。
7-Zip >= 25.00


下载链接：https://github.com/ip7z/7zip/releases/


3.2 暂时步伐


暂无。。


3.3 通用建议


? 按期更新系统补丁，，，，，，镌汰系统误差，，，，，，提升效劳器的清静性。。
? 增强系统和网络的会见控制，，，，，，修改防火墙战略，，，，，，关闭非须要的应用端口或效劳，，，，，，镌汰将危险效劳（如SSH、RDP等）袒露到公网，，，，，，镌汰攻击面。。
? 使用企业级清静产品，，，，，，提升企业的网络清静性能。。
? 增强系统用户和权限治理，，，，，，启用多因素认证机制和最小权限原则，，，，，，用户和软件权限应坚持在最低限度。。
? 启用强密码战略并设置为按期修改。。


3.4 参考链接


https://www.zerodayinitiative.com/advisories/ZDI-25-950/
https://www.zerodayinitiative.com/advisories/ZDI-25-949/