Una vulnerabilidad de seguridad recién descubierta en el software de compresión de archivos 7-Zip ha causado gran preocupación. Identificada como CVE-2025-55188, esta falla fue reportada por el investigador de seguridad Landon el 9 de agosto de 2025. La vulnerabilidad permite a los atacantes escribir archivos en ubicaciones no autorizadas durante la extracción, lo que podría llevar a la ejecución de código malicioso en los sistemas afectados.
La vulnerabilidad afecta a todas las versiones de 7-Zip anteriores a la 25.01 y se origina en el manejo inadecuado de enlaces simbólicos. Cuando un usuario extrae un archivo malicioso que contiene estos enlaces inseguros, 7-Zip sigue estas referencias, permitiendo que los archivos se escriban fuera del directorio de extracción previsto.
Detalles de la vulnerabilidad y condiciones de explotación
Esta vulnerabilidad explota el mecanismo de procesamiento de enlaces simbólicos de 7-Zip. Para que el ataque sea exitoso, deben cumplirse ciertas condiciones:
- En sistemas Linux, el proceso de explotación es más sencillo. Un atacante necesita que la víctima use una versión vulnerable de 7-Zip para extraer un formato de archivo que admita enlaces simbólicos, como ZIP, TAR, 7Z o RAR.
- En sistemas Windows, la explotación es más compleja, ya que requiere que el proceso de extracción tenga privilegios elevados o que el sistema esté en modo desarrollador para crear enlaces simbólicos. Aunque es menos susceptible, no es inmune.
Una vez que se cumplen estas condiciones, los atacantes pueden crear archivos con enlaces simbólicos que apuntan a archivos sensibles del sistema. Al ser extraídos, 7-Zip sigue estos enlaces y sobrescribe archivos críticos como claves SSH o archivos .bashrc, comprometiendo el sistema.
A pesar de tener una puntuación de gravedad baja de CVSS 2.7, expertos en seguridad advierten que su impacto real podría ser mucho mayor. La vulnerabilidad permite a los atacantes obtener acceso no autorizado y ejecutar código al atacar archivos clave que controlan el comportamiento del sistema.
Mitigación y recomendaciones
La versión 25.01 de 7-Zip, lanzada el 3 de agosto de 2025, soluciona esta vulnerabilidad con un manejo mejorado de los enlaces simbólicos. Esta actualización incluye mejoras de seguridad para prevenir la creación de enlaces simbólicos inseguros. La nueva versión también ofrece el modificador de línea de comandos -snld20 para que los administradores puedan eludir las verificaciones de seguridad predeterminadas de forma controlada.
Dada la amplia utilización de 7-Zip, es crucial actualizar de inmediato a la versión 25.01. Otras estrategias de mitigación incluyen evitar la extracción de archivos de fuentes no confiables y usar entornos aislados para manejar archivos desconocidos. Las organizaciones deben auditar sus sistemas, ya que 7-Zip no se actualiza de forma automática.
Este incidente se suma a un patrón de vulnerabilidades recientes en 7-Zip, como CVE-2025-0411 y CVE-2024-11477. Esto subraya la necesidad de mantener prácticas de seguridad estrictas al manejar archivos comprimidos de fuentes no confiables.
