bit7z v4.0.12 修复 CVE-2026-45380/45384 目录穿越与符号链接滥用漏洞

漏洞概述 Bit7z v4.0.12 版本修复了两个由 @Smartfoxx 报告的 CVE 漏洞： 1. CVE-2026-45380：在 bit7z 恢复符号链接时存在错误，攻击者可以构造一个归档文件，在非 Windows 平台上提取时创建符号链接，从而逃逸到输出目录的父目录。后续通过该符号链接提取的归档条目可能会将任意文件写入提取目录的父目录，权限由提取过程决定。 2. CVE-2026-45384：在更新归档时，bit7z 使用可预测名称的临时文件（如 ），允许具有写入权限的攻击者在归档目录中预放置一个符号链接，指向任意目标文件。当进程随后更新归档时，符号链接会跟随并覆盖目标文件。 影响范围 CVE-2026-45380： - 非 Windows 平台受影响。 - Windows 平台不受影响，因为符号链接恢复在此平台上不支持。 - 在 POSIX 平台上，攻击者最多可以逃逸一层目录。 CVE-2026-45384： - 攻击者需要预先具有对包含归档的目录的写入权限。 - 在 Windows 上创建符号链接通常需要管理员权限或启用开发者模式。 修复方案 CVE-2026-45380： - 符号链接目标路径中的换行符现在被视为有效，与 POSIX 平台一致。 - 嵌入空字符的路径字符串现在正确处理： - 使用 时，空字符被拒绝并抛出异常。 - 使用 时，空字符被替换为 ，与 Windows 上处理无效字符的方式一致。 - 符号链接现在以相对于符号链接自身父目录的目标重新创建，匹配操作系统在运行时解析它们的方式；目标仍经过验证以确保其位于提取输出目录内。 CVE-2026-45384： - 在更新归档时，不再直接打开 ，而是创建一个私有临时目录（使用 ，随机后缀，权限为 0700），并将新归档写入该目录。 - 在 POSIX 上，由于目录名称不可预测且其他用户无法访问，攻击者无法在临时文件路径上预放置符号链接。 - 在 Windows 上，由于 不可用且创建符号链接通常需要提升权限，相同的可预测 扩展名被保留，但如果文件不存在则创建，如果已存在文件或符号链接则导致 错误，并尝试使用数字后缀（ , , ..., 最多 65535 次）；行为与 7-Zip 相同。 - 在这两种情况下， 现在使用 而非 检查存在性，因此悬空符号链接也会被检测到。 其他变化 改进了错误消息。 拒绝没有文件名组件的输出归档路径，并给出清晰的错误提示。 更新多卷归档时不再静默创建单卷归档。 在所有平台上改进了路径清理。 改进了提取回调中的路径验证和清理。 将长路径前缀格式化移入 以提高封装性。 改进了对各个平台最大路径长度的处理。 改进了测试覆盖率。 贡献者 Smartfoxx 资产 25 个资产 2 人点赞 其他信息 这是一个维护版本。有关 bit7z v4 的其他更改的完整更改日志，请访问 GitHub 发布页面。 使用 Clang10、GCC 9、MinGW 8、MSVC 2015、2017、2019 和 2022 编译的二进制文件。

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

bit7z v4.0.12 修复 CVE-2026-45380/45384 目录穿越与符号链接滥用漏洞

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

bit7z v4.0.12 修复 CVE-2026-45380/45384 目录穿越与符号链接滥用漏洞

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！