افشای دو آسیب‌پذیری بحرانیZip_7: چرا باید همین حالا به نسخه 25 آپدیت کنید؟

نرم‌افزار محبوب فشرده‌سازی فایل 7-Zip که میلیون‌ها کاربر برای مدیریت آرشیوهای ZIP خود به آن متکی هستند، اخیراً در کانون توجهات امنیتی قرار گرفته است. دو آسیب‌پذیری با درجه خطر بالا (Critical) کشف شده است که به مهاجمان اجازه می‌دهد با یک ترفند ساده، کنترل سیستم قربانی را به دست بگیرند. اگرچه وصله امنیتی این حفره‌ها از ماه ژوئیه منتشر شده، اما جزئیات آن به تازگی علنی گشته و میلیون‌ها کاربر را برای ماه‌ها در معرض خطر قرار داده است. این مقاله به بررسی دقیق این تهدیدات امنیتی (با شناسه CVE-2025-11001 و CVE-2025-11002) و نحوه محافظت فوری می‌پردازد.

7-Zip و اهمیت امنیتی آن در اکوسیستم فایل‌ها

7-Zip یکی از ابزارهای ضروری در محیط‌های کاری و شخصی است. سادگی کاربری، سرعت بالا و پشتیبانی از الگوریتم‌های فشرده‌سازی قدرتمند، آن را به گزینه‌ای محبوب برای جابجایی و آرشیو کردن حجم زیادی از داده‌ها تبدیل کرده است. با این حال، هرچه یک ابزار نفوذ بیشتری در سیستم‌های ما داشته باشد، سطح ریسک ناشی از نقص‌های امنیتی آن نیز بالاتر می‌رود. این آسیب‌پذیری‌های جدید، دقیقاً از همین نقطه ضعف استفاده می‌کنند: قابلیت‌های پردازش فایل‌های فشرده.

مکانیسم حمله: فرار از دایرکتوری با لینک‌های نمادین

ریشه این دو نقص امنیتی در نحوه پردازش «لینک‌های نمادین» (Symbolic Links) در فایل‌های ZIP توسط 7-Zip نهفته است. این آسیب‌پذیری‌ها به یک تکنیک شناخته شده به نام «پیمایش دایرکتوری» (Directory Traversal) اجازه می‌دهند.

مفهوم لینک‌های نمادین (Symlinks) در آرشیوها

لینک نمادین نوعی اشاره‌گر (Pointer) در سیستم فایل است که به یک مسیر یا فایل دیگر اشاره می‌کند. در حالت عادی، این قابلیت برای سازماندهی مفید است، اما زمانی که یک برنامه فشرده‌ساز (مانند 7-Zip) با یک فایل ZIP حاوی لینک‌های نمادین دستکاری شده مواجه می‌شود، می‌تواند منجر به اجرای کدهای ناخواسته شود.

چگونگی عملکرد حمله (سناریوی استخراج مخرب):

1. فریب کاربر: مهاجم یک فایل ZIP مخرب (که ممکن است در ظاهر یک سند یا به‌روزرسانی قانونی باشد) می‌سازد. این فایل حاوی ساختار دایرکتوری خاص و لینک‌های نمادین از پیش تعریف شده است.
2. دستکاری مسیر (Path Manipulation): در داخل این فایل، لینک‌های نمادینی تعبیه می‌شود که مسیر خروجی را به گونه‌ای دستکاری می‌کنند که هنگام استخراج خودکار یا دستی توسط کاربر، برنامه از پوشه مقصد انتخابی کاربر (مثلاً C:\Users\Username\Downloads) “فرار کند” و به مسیرهای سطح بالاتر یا حساس سیستمی دسترسی پیدا کند. این عمل معمولاً با استفاده از ساختارهای نقطه‌گذاری (مانند ../../..) در ترکیب با ماهیت لینک‌های نمادین انجام می‌شود.
3. کپی فایل مخرب: مهاجم اطمینان حاصل می‌کند که فایل‌های مخرب (شامل اسکریپت‌های PowerShell، فایل‌های DLL یا فایل‌های اجرایی کامپایل شده) دقیقاً در مکان‌هایی کپی شوند که سیستم عامل آن‌ها را به عنوان بخشی از فرآیند بوت یا اجرای معمولی شناسایی کند. یکی از اهداف اصلی مهاجمان، کپی کردن این فایل‌ها در پوشه Startup ویندوز (معمولاً مسیرهایی مانند %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup) است.
4. اجرای کد از راه دور (RCE) با Persistence: با قرار گرفتن فایل اجرایی در پوشه Startup، سیستم در بوت بعدی، کد مهاجم را با سطح دسترسی کاربر فعلی اجرا می‌کند. این امر عملاً یک اجرای کد از راه دور (RCE) با حفظ پایداری (Persistence) است که برای به خطر انداختن کامل محیط ویندوز، سرقت اطلاعات حساس، نصب باج‌افزار یا جاسوس‌افزار کافی است.

تحلیل فنی: این نقص امنیتی، ماهیت بازیابی مسیر (Path Resolution) را در هنگام پردازش آرشیوها هدف قرار می‌دهد. اگر تابع استخراج نتواند به درستی بررسی کند که آیا لینک نمادین به خارج از دایرکتوری هدف اشاره می‌کند یا خیر، مهاجم می‌تواند عملیات I/O دلخواه را در سیستم فایل انجام دهد.

تأخیر نگران‌کننده در اطلاع‌رسانی عمومی

نکته قابل تأمل در این پرونده امنیتی، شکاف زمانی بین زمان انتشار وصله و افشای عمومی جزئیات فنی است. این امر باعث شده است که میلیون‌ها کاربر برای مدت طولانی‌تری در معرض خطر باقی بمانند.

جدول زمانی مهم:

رویداد امنیتیتاریخ تخمینی/تأیید شدهاهمیتکشف و گزارش اولیه آسیب‌پذیری‌هاقبل از ژوئیه ۲۰۲۵—تاریخ انتشار وصله امنیتی (7-Zip 25.00)۵ ژوئیه ۲۰۲۵اقدام فوری توسعه‌دهندهافشای عمومی جزئیات فنی (CVEها)هفته جاری (زمان نگارش مقاله)زمان آگاهی عمومی کاربران

• تاریخ انتشار وصله: «ایگور پاولوف»، توسعه‌دهنده اصلی 7-Zip، وصله امنیتی را در نسخه 25.00 که در تاریخ ۵ ژوئیه منتشر شد، ادغام کرد. این نسخه مشکل را به طور کامل برطرف می‌کند.
• تأخیر در افشا: جزئیات فنی و سطح خطر این آسیب‌پذیری‌ها تا هفته جاری (زمان افشا) علنی نشد. محققان امنیتی اغلب این زمان را به توسعه‌دهندگان برای رفع مشکل اختصاص می‌دهند، اما افشای این جزئیات، کاربران را آگاه می‌سازد.

این تأخیر چندماهه، همراه با این واقعیت که 7-Zip فاقد مکانیسم به‌روزرسانی خودکار (مانند مرورگرها یا سیستم‌عامل‌ها) است، به این معناست که میلیون‌ها کاربر از تابستان امسال تا زمان خواندن این مقاله، بدون اطلاع از خطر، نرم‌افزار خود را به‌روز نکرده‌اند و در معرض حملات هدفمند قرار داشته‌اند.

مقایسه سطح خطر: چرا این حفره‌ها بحرانی هستند؟

آسیب‌پذیری‌هایی که امکان RCE با دسترسی کاربر محلی را فراهم می‌کنند، اغلب بالاترین امتیاز CVSS (Common Vulnerability Scoring System) را دریافت می‌کنند. در این حالت، امتیاز احتمالاً در محدوده ۹.۰ تا ۹.۸ قرار می‌گیرد (Critical).

اگر نرخ پیچیدگی حمله (Attack Complexity) پایین باشد (که در مورد پیمایش دایرکتوری و لینک‌های نمادین معمولاً پایین است)، و نیازی به تعامل کاربر صرفاً برای باز کردن فایل نباشد (فقط استخراج)، خطر بسیار زیاد است.

فرمول کلی امتیازدهی CVSS (نسخه 3.1) شامل عوامل متعددی است، اما مهمترین پارامترهای اینجا عبارتند از:

• Attack Vector (AV): Network (زیرا فایل مخرب می‌تواند از طریق اینترنت منتقل شود).
• Privileges Required (PR): None (کاربر عادی کافی است).
• User Interaction (UI): Required (کاربر باید فایل را استخراج کند).
• Scope (S): Changed (زیرا دسترسی از سطح کاربر به سیستم فایل‌های حساس تغییر می‌کند).
• Impact (Confidentiality/Integrity/Availability): High (به دلیل RCE و پایداری).

این آسیب‌پذیری‌ها به مهاجم اجازه می‌دهند تا بدون نیاز به اکسپلویت‌های پیچیده روز صفر (Zero-Day) در سطح کرنل، به سطح دسترسی کاربر دست یابند، که این خود یک تهدید حیاتی تلقی می‌شود.

راه‌حل فوری: چگونه از خود محافظت کنیم؟ (گام‌های عملی)

محافظت در برابر تهدیدات CVE-2025-11001 و CVE-2025-11002 بسیار ساده و فوری است، زیرا وصله امنیتی مدت‌هاست که منتشر شده است.

1. بررسی نسخه (Check Current Version)

قبل از هر اقدامی، باید بدانید که چه نسخه‌ای از 7-Zip را نصب دارید.

• نرم‌افزار 7-Zip را باز کنید.
• به منوی Help بروید و گزینه About 7-Zip را انتخاب کنید.
• شماره نسخه را یادداشت کنید (مثلاً 23.01 یا 24.00).

2. به‌روزرسانی الزامی (Mandatory Update)

اگر نسخه شما قدیمی‌تر از 25.01 است، بدون اتلاف وقت به وب‌سایت رسمی 7-Zip (www.7-zip.org) مراجعه کرده و جدیدترین نسخه پایدار را دانلود و نصب نمایید.

توجه مهم: حداقل نسخه مورد نیاز برای رفع این نقص‌ها نسخه 25.00 است، اما توصیه می‌شود همیشه جدیدترین نسخه پایدار (مانند 25.01 یا بالاتر) نصب شود تا از هرگونه اصلاح جزئی نیز بهره‌مند شوید.

3. نحوه آپدیت ایمن (Installation Procedure)

نصب نسخه جدید به‌طور خودکار، نسخه قدیمی شما را بدون از دست رفتن تنظیمات موجود (مانند تنظیمات Context Menu یا رمزها) به‌روزرسانی می‌کند. این فرآیند معمولاً شامل اجرای فایل نصبی دانلود شده و اجازه دادن به آن برای جایگزینی فایل‌های اجرایی آسیب‌پذیر قدیمی است.

4. احتیاط موقت در برابر منابع ناشناس

تا زمان اطمینان کامل از نصب نسخه 25 به بالا، رعایت اصول اولیه امنیت سایبری حیاتی است:

• فیلتر کردن ایمیل: به هیچ عنوان فایل‌های ZIP، RAR یا 7Z که از طریق ایمیل‌های مشکوک یا از سوی فرستندگانی که انتظار آن‌ها را ندارید دریافت می‌کنید، باز یا استخراج نکنید.
• دانلود از منابع معتبر: همیشه نرم‌افزارها را مستقیماً از وب‌سایت رسمی سازنده دانلود کنید و نه از طریق لینک‌های ارجاعی شخص ثالث.

پیامدهای عدم به‌روزرسانی: سناریوهای بالقوه

اگر یک مهاجم بتواند این اکسپلویت را در یک حمله گسترده به کار گیرد (مثلاً از طریق فیشینگ متمرکز)، پیامدها شامل موارد زیر خواهد بود:

1. سرقت اعتبارنامه‌ها: دسترسی به کلیدهای رمزنگاری، کوکی‌های مرورگر و رمزهای عبور ذخیره شده در ویندوز.
2. نصب بدافزار پنهان: نصب کی‌لاگرها یا تروجان‌های دسترسی از راه دور (RATs) که به مهاجم امکان نظارت مداوم بر فعالیت کاربر را می‌دهد.
3. آلودگی شبکه داخلی: اگر کاربر در یک شبکه سازمانی باشد، پس از آلوده شدن سیستم محلی، مهاجم می‌تواند از طریق همان سیستم به منابع مشترک شبکه داخلی دسترسی پیدا کند (Lateral Movement).

نتیجه‌گیری (Call to Action)

فراموش نکنید که در حوزه امنیت سایبری، سرعت واکنش شما مستقیماً بر میزان ریسک تأثیر می‌گذارد. آسیب‌پذیری‌های CVE-2025-11001 و CVE-2025-11002 نمایانگر یک نقص اساسی در نحوه اعتبارسنجی مسیر فایل‌ها در هنگام استخراج هستند که مهاجمان برای اجرای کد از راه دور از آن بهره می‌برند. این آسیب‌پذیری‌ها از نوعی هستند که تنها با یک کلیک اشتباه فعال می‌شوند. همین حالا 7-Zip خود را آپدیت کنید. امنیت سیستم شما به این اقدام ساده وابسته است.