【缝隙公告】7-Zip 目录穿越导致远程代码执行缝隙(CVE-2025-11001)

颁布功夫 2025-10-16

一、缝隙概述


缝霞称

7-Zip 目录穿越导致远程代码执行缝隙

CVE   ID

CVE-2025-11001

缝隙类型

目录穿越

发现功夫

2025-10-16

缝隙评分

7.0

缝隙等级

高危

攻击向量

本地

所需权限

无

利用难度

高

用户交互

必要

PoC/EXP

已公开

在野利用

未发现


7-Zip是一款开源的文件压缩和解压缩软件， ，， ，，，支持多种文件体式， ，， ，，，蕴含7z、ZIP、RAR、TAR、GZ等。。 。。。。。。它以高压缩比和轻便的操作界面著称， ，， ，，，可能有效地减幼文件大幼！� 。。。。。。� ，， ，，，同时维持优良的压缩效能。。 。。。。。。7-Zip使用自己的7z体式， ，， ，，，该体式拥有更高的压缩率， ，， ，，，并支持强加密算法。。 。。。。。。7-Zip支持跨平台操作， ，， ，，，除了Windows， ，， ，，，Linux和macOS也能够使用p7zip版本。。 。。。。。。7-Zip提供了号令行界面和图形用户界面（GUI）， ，， ，，，适合分歧用户的需要， ，， ，，，宽泛利用于日常文件压缩、加密和解压工作钟祝。 。。。。。。


2025年10月16日， ，， ，，，8827太阳集团集团VSRC监测到一个影响7-Zip压缩工具的目录穿越缝隙（CVE-2025-11001）， ，， ，，，该缝隙源于ZIP文件中符号链接（symlink）的处置方式。。 。。。。。。攻击者可通过机关恶意ZIP文件， ，， ，，，利用该目录遍历缝隙， ，， ，，，导致法式接见未经授权的目录并执行恶意代码。。 。。。。。。同时， ，， ，，，7-Zip压缩工具还存在另一个类似缝隙（CVE-2025-11002）， ，， ，，，两个缝隙均允许远程攻击者在受影响的系统上执行肆意代码。。 。。。。。。通过特造的ZIP文件， ，， ，，，攻击者可能利用符号链接处置缺点， ，， ，，，促使法式接见本不应接见的目录， ，， ，，，进而执行恶意代码。。 。。。。。。这两个缝隙的利用方式类似， ，， ，，，均可导致系统安全风险。。 。。。。。。


二、影响领域


7-Zip < 25.00


三、安全措施


3.1 升级版本


7-Zip官方已颁布建复补丁！� 。。。。。。� ，， ，，，以建复该缝隙。。 。。。。。。
7-Zip >= 25.00


下载链接：https://github.com/ip7z/7zip/releases/


3.2 一时措施


暂无。。 。。。。。。


3.3 通用建议


? 定期更新系统补丁！� 。。。。。。� ，， ，，，削减系统缝隙， ，， ，，，提升服务器的安全性。。 。。。。。。
? 加强系统和网络的接见节造， ，， ，，，批改防火墙战术， ，， ，，，关关非必要的利用端口或服务， ，， ，，，削减将危险服务（如SSH、RDP等）露出到公网， ，， ，，，削减攻击面。。 。。。。。。
? 使用企业级安全产品， ，， ，，，提升企业的网络安全机能。。 。。。。。。
? 加强系统用户和权限治理， ，， ，，，启用多成分认证机造和最幼权限准则， ，， ，，，用户和软件权限应维持在最低限度。。 。。。。。。
? 启用强密码战术并设置为定期批改。。 。。。。。。


3.4 参考链接


https://www.zerodayinitiative.com/advisories/ZDI-25-950/
https://www.zerodayinitiative.com/advisories/ZDI-25-949/