PT-2022-27330 · Py7Zr+2 · Py7Zr+2

0Xless + 1 · Publicado 2022-12-06 · Atualizado 2025-05-17 · CVE-2022-44900

Positive Technologies (AI Summary) · Pt

CVSS v4.0

9.3

Crítica

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

py7zr versões 0.20.0 e anteriores

Descrição

Uma falha de traversal de diretório na função SevenZipFile.extractall() permite que invasores gravem arquivos arbitrários ao extrair um arquivo 7z malicioso.

Recomendações

Para as versões 0.20.0 e anteriores do py7zr, considere desativar a função SevenZipFile.extractall() até que um patch esteja disponível para impedir a gravação de arquivos arbitrários.

Exploit

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2022-44900

DSA-5652-1

GHSA-M8XW-9X5X-6VH3

OPENSUSE-SU-2024:12586-1

OPENSUSE-SU-2025:15101-1

PYSEC-2022-42998

USN-7030-1

Produtos afetados

Linuxmint

Ubuntu

Py7Zr

Referências · 23

• 🔥 https://lessonsec.com/cve/cve-2022-44900 · Exploit
• 🔥 http://packetstormsecurity.com/files/170127/py7zr-0.20.0-Directory-Traversal.html · Exploit
• https://github.com/miurahr/py7zr/commit/1bb43f17515c7f69673a1c88ab9cc72a7bbef406 · Correção
• https://github.com/miurahr/py7zr · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/py7zr/PYSEC-2022-42998.yaml · Nota
• https://osv.dev/vulnerability/GHSA-m8xw-9x5x-6vh3 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2022-44900 · Aviso do Fabricante
• https://lists.opensuse.org/archives/list/[e-mail]/thread/GTPYDSULYXFYF5DM6FNQYBZ6M5HI2JRL · Nota
• https://osv.dev/vulnerability/USN-7030-1 · Aviso do Fabricante
• https://t.me/cibsecurity/54092 · Publicação no Telegram
• https://cve.org/CVERecord?id=CVE-2022-44900 · Nota de Segurança
• https://osv.dev/vulnerability/DSA-5652-1 · Aviso do Fabricante
• https://osv.dev/vulnerability/openSUSE-SU-2025:15101-1 · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2022-42998 · Aviso do Fabricante
• https://t.me/cybersecuritytechnologies/7652 · Publicação no Telegram