In 7-Zip klafft eine Sicherheitslücke, die es einem entfernten, nicht authentifizierten Angreifer erlaubt, beliebigen Programmcode auszuführen. Ursache ist ein heap-basierter Pufferüberlauf bei der Verarbeitung von XZ-Chunked-Daten. Zur Ausnutzung ist eine Benutzeraktion erforderlich: Das Opfer muss eine entsprechend präparierte Archivdatei öffnen.
Heap-basierte Pufferüberläufe entstehen, wenn ein Programm mehr Daten in einen Speicherbereich schreibt, als dafür reserviert wurde, und dabei benachbarte Speicherbereiche überschreibt. Angreifer nutzen solche Fehler typischerweise, um eigenen Code in den Prozessspeicher einzuschleusen und auszuführen.
7-Zip ist einer der meistgenutzten Dateiarchiver und auf Millionen von Windows-Systemen im Einsatz. Nutzer sollten die Software auf die aktuelle Version aktualisieren. Wer 7-Zip nicht zwingend benötigt, sollte außerdem prüfen, ob das automatische Öffnen von Archivdateien aus unbekannten Quellen über Sicherheitsrichtlinien eingeschränkt werden kann.