当前位置：首页 > news >正文

CVE-2022-29072漏洞技术分析：7z.dll配置错误如何导致权限提升

news 2026/8/7 20:00:46

CVE-2022-29072漏洞技术分析：7z.dll配置错误如何导致权限提升

【免费下载链接】CVE-2022-290727-Zip through 21.07 on Windows allows privilege escalation and command execution when a file with the .7z extension is dragged to the Help>Contents area.项目地址: https://gitcode.com/gh_mirrors/cv/CVE-2022-29072

CVE-2022-29072是存在于7-Zip 21.07及之前版本Windows客户端中的严重安全漏洞，由于7z.dll组件配置错误，攻击者可通过拖拽恶意.7z文件至软件的"帮助>内容"区域实现权限提升与命令执行。本文将从漏洞原理、攻击链构建、检测防御等维度进行深度解析，帮助普通用户理解风险并采取有效防护措施。

🚨漏洞原理：7z.dll配置缺陷与权限边界突破

该漏洞的核心成因是7-Zip在处理CHM帮助文件时存在权限校验缺失。正常情况下，7-Zip的主进程7zFM.exe应通过Windows Help程序（hh.exe）加载帮助内容，但漏洞版本中直接通过7z.dll调用了CreateProcess API，导致恶意代码可在7zFM.exe进程上下文中执行。

漏洞发现者通过WinAFL模糊测试工具发现，当特制的.7z文件被拖拽至帮助区域时，7zFM.exe会创建未受限制的子进程，且未正确隔离用户权限上下文。这种设计缺陷使得低权限用户可利用构造的CHM文件触发psexec -s cmd.exe等命令，直接获取NT AUTHORITY\SYSTEM系统权限。

🔍攻击链解析：从文件拖拽到系统控制权

完整的攻击利用需经过三个关键步骤，整个过程对普通用户具有高度迷惑性：

1. 恶意CHM文件构造

攻击者会制作包含嵌入式HTML脚本的CHM文件，通过ActiveXObject调用WScript.Shell组件。漏洞利用代码通常隐藏在看似正常的7-Zip帮助文档中，如：

<script> var shell = new ActiveXObject("WScript.Shell"); shell.Exec("cmd.exe /c net user hacker P@ssw0rd /add"); </script>

2. 社会工程学触发

受害者被诱导将恶意.7z文件拖拽至7-Zip的"帮助>内容"区域。此操作会触发7z.dll的错误配置逻辑，绕过正常的安全检查机制。漏洞利用演示中可观察到7zFM.exe直接衍生cmd.exe子进程，而非通过hh.exe中转：

ParentImage: C:\Program Files\7-Zip\7zFM.exe ChildImage: C:\Windows\System32\cmd.exe

3. 权限提升执行

通过修改注册表项HKCU:\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0\1201至0值，可绕过ActiveX安全提示。此时恶意代码以7zFM.exe的权限执行，利用配置缺陷实现权限跃迁。

🛡️检测与防御：关键措施与缓解策略

漏洞检测规则

Sigma规则7z_CVE-2022-29072.yml提供了针对该漏洞的检测逻辑，核心检测条件包括：

进程创建事件中，父进程为7zFM.exe
子进程为cmd.exe或powershell.exe
排除正常脚本执行场景（如.bat/.ps1文件）

紧急缓解措施

在官方补丁发布前，普通用户可采取以下临时防护手段：

删除CHM帮助文件：删除7-Zip安装目录下的7-zip.chm文件，路径通常为C:\Program Files\7-Zip\7-zip.chm
限制文件权限：确保所有用户对7-Zip安装目录仅拥有"读取和执行"权限，禁用写入权限
监控异常进程：通过任务管理器检查7zFM.exe是否衍生可疑子进程