したがって、ALAS2023-2024-705 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    24.01 以前の 7-Zip の NtfsHandler.cpp NTFS ハンドラー (7zz 用) には、ヒープベースのバッファオーバーフローがあり、攻撃者が割り当てられたバッファサイズを超えて、複数のオフセットで 2 バイトを上書きできます。
    buffer+512*i-2 (i=9、i=10、i=11 など) (CVE-2023-52168)

    24.01 以前の 7-Zip の NtfsHandler.cpp NTFS ハンドラー (7zz 用) には、領域外読み取りがあり、攻撃者が意図されたバッファを超えて読み取ることができます。意図されたバッファを超えて読み取られたバイトは、ファイルシステムイメージにリストされているファイル名の一部として表示されます。これは、信頼できないユーザーがファイルをアップロードし、サーバー側の 7-Zip プロセスによって抽出させることができる、一部の既知の Web サービスのユースケースでセキュリティに関連します。(CVE-2023-52169)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2023: p7zip、p7zip-plugins (ALAS2023-2024-705)

high Nessus プラグイン ID 205810

バージョン 1.1