近期，一款广受欢迎的压缩工具7-Zip遭遇了一项严重的安全挑战，一个被命名为CVE-2024-11477的安全漏洞被公之于众。此漏洞的严重性不容小觑，CVSS评分高达7.8，被明确划分为高危级别。
问题的根源在于7-Zip对Zstandard格式解压缩功能的实现上存在疏漏，具体表现为对用户输入数据的验证不足，从而触发了整数下溢的隐患。在特定的情境下，这一漏洞可能被利用来在当前进程的上下文中执行恶意代码。
Zstandard格式因其高效性，在Linux环境中有着广泛的应用，特别是在诸如Btrfs、SquashFS和OpenZFS等文件系统中。攻击者可能会利用这一漏洞，通过诱导用户打开经过精心设计的恶意存档文件来实施攻击。这些存档文件可能会伪装成电子邮件附件或共享文件，诱导用户下载并打开。
一旦成功利用此漏洞，攻击者将能够在目标系统上执行任意代码，其权限等同于当前登录用户的权限。更糟糕的是，攻击者甚至有可能完全绕过系统的安全机制，获取更高的访问权限。
幸运的是，截至目前，尚未有针对这一漏洞的恶意软件被检测到。7-Zip的开发团队已经迅速响应，在24.07版本中修复了这一漏洞，并强烈建议所有用户尽快手动下载并安装最新版本，以确保自身安全。
这一漏洞的发现可以追溯到2024年6月，当时安全研究人员向7-Zip报告了这一问题。经过一段时间的评估和准备，这一漏洞的信息于11月20日正式向公众披露。
