دیروز، کاربر @NSA_Employee39 ظاهراً یک سوء استفاده روز صفر برای ابزار محبوب رفع فشرده سازی فایل منبع باز 7-Zip در توییتر پست کرده است، اما نویسنده 7-Zip، ایگور پاولوف به سرعت آن را به عنوان یک گزارش جعلی رد کرد. سایر افرادی که به توییت اصلی @NSA_Employee39 پاسخ دادند نیز این ادعاها و نوشتهها را زیر سوال بردند که برخی گمانهزنی میکنند میتواند از طریق ChatGPT اجرا شود.
صرف نظر از این، اخبار مربوط به سوء استفاده از اجرای کد دلخواه (ACE) که به 7-Zip ضربه زد، به سرعت پخش شد. اکنون این بر عهده رسانه هایی مانند ما یا بازرسان مستقل بسیار خاص است که اظهارات ایگور پاولوف را در برابر این گزارش های سوء استفاده نادرست بیابند.
در Sourceforge.net، خود ایگور پاولوف با مجموعه ای از نظرات معتبر در مورد این موضوع، هوا را پاک می کند. ایگور گفت: «نتیجه گیری رایج این است که این کد سوء استفاده جعلی از توییتر توسط LLM (AI) تولید شده است. او توضیح می دهد که نظر در کد “جعلی” حاوی عبارت زیر است: “این اکسپلویت آسیب پذیری را در رمزگشای LZMA 7-Zip هدف قرار می دهد. از یک آرشیو .7z دستکاری شده با جریان LZMA تحریف شده برای ایجاد شرایط سرریز بافر در تابع RC_NORM استفاده می کند.
سلام بچه ها، به عنوان تشکر از همه دنبال کنندگان جدیدم، 0 روز تمام این هفته را در MyBB پست خواهم کرد. در اینجا آسیب پذیری ACE در 7zip آمده است (تا زمانی که به خانه برسم نمی توانم به GitHb دسترسی پیدا کنم، lol) ممکن است تغییرات جزئی بسته به قربانی …30 دسامبر 2024
ایگور ادامه داد، “اما هیچ تابع RC_NORM در رمزگشا LZMA وجود ندارد. در عوض، 7-Zip دارای یک ماکرو RC_NORM در رمزگذار LZMA و رمزگشا PPMD است. بنابراین، رمزگشا LZMA RC_NORM را فراخوانی نمی کند. بیانیه RC_NORM در اظهار نظر استثمار درست نیست.»
از آنجایی که 7-Zip منبع باز است، و ما فقط کاربرانی را یافتیم که از ادعاهای ایگور حمایت می کنند نه اینکه “کارمند NSA” فرضی یک سوء استفاده 0 روزه ACE را در توییتر پست کند، به نظر می رسد که این موضوع چیزی نیست که کاربران نهایی باید نگران آن باشند.
اگر بهطور خاص نگران این موضوع هستید، توصیه میکنیم با انجام بررسیهای امنیتی روی آرشیوهای ناآشنا سازگار با ۷-Zip که ممکن است دانلود کنید، عوامل را کاهش دهید. این آسیبپذیری، همانطور که توضیح داده شد، همچنان به کاربران نیاز دارد که یک بایگانی آلوده به اکسپلویت 7-Zip داخلی را باز کنند. در غیر این صورت، به نظر میرسد که مطمئنترین صداها همگی به جعلی بودن این آسیبپذیری اشاره میکنند، و اینکه آن و نظرات پیرامون آن با استفاده از هوش مصنوعی نوشته شدهاند، حتی توسط یک هکر کلاه سیاه سختکوش. غمگین
منبع: https://www.tomshardware.com/tech-industry/cyber-security/alleged-7-zip-arbitrary-code-execution-exploit-leaked-to-twitter-the-7-zip-author-claims-this-exploit-not-only-isnt-real-but-was-generated-by-ai