JVNDB-2026-005011

Riccardo (rikyoz)のbit7zにおける複数の脆弱性

bit7zは、アーカイブファイルの圧縮および解凍を可能にするクロスプラットフォームのC++静的ライブラリです。バージョン4.0.11以前には、bit7zのアーカイブ解凍機能にパストラバーサル脆弱性（"Zip Slip"）が存在しました。このライブラリはアーカイブエントリに含まれるファイルパスを十分に検証しておらず、相対パスのトラバーサル、絶対パスのトラバーサル、およびシンボリックリンクのトラバーサルという3つの異なる方法で、意図した展開ディレクトリの外部にファイルを書き込んでしまいます。攻撃者は悪意のあるアーカイブを、bit7zを使用して信頼できないアーカイブを解凍する任意のアプリケーションに提供することで、この脆弱性を悪用可能です。成功すると、解凍処理を実行するプロセスの権限で任意のファイル書き込みが可能になり、アプリケーションのバイナリや設定ファイル、その他の機密データが上書きされる恐れがあります。この脆弱性はファイル内容の読み取りを直接的には許さず、機密性への影響は主に解凍後の呼び出しアプリケーションの挙動に限定されます。しかし、解凍されたファイルを後に公開または表示するアプリケーションは、攻撃者によって作成されたシンボリックリンクを通じて二次的な機密性リスクに直面する可能性があります。バージョン4.0.11で修正がリリースされています。すぐにアップグレードできない場合、ユーザーは書き込み前に各エントリの宛先パスを検証することで脆弱性を緩和できます。他の緩和策としては、最小権限での解凍実行や信頼できないアーカイブをサンドボックス化されたディレクトリで解凍する方法が挙げられます。

Riccardo (rikyoz)

• bit7z 4.0.11 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Path traversal vulnerability in bit7z  Advisory  rikyoz/bit7z  GitHub

1. パス・トラバーサル(CWE-22) [その他]
2. パス・トラバーサル(CWE-22) [NVD評価]
3. 相対パストラバーサル(CWE-23) [その他]
4. 絶対パストラバーサル(CWE-36) [その他]

1. CVE-2026-27117

1. National Vulnerability Database (NVD) : CVE-2026-27117
2. 関連文書 : Fix and improve extraction path sanitization  rikyoz/bit7z@9e02048  GitHub
3. 関連文書 : Release Bit7z v4.0.11  rikyoz/bit7z  GitHub
4. 関連文書 : Apply path sanitization also when restoring symbolic links  rikyoz/bit7z@31763da  GitHub

• [2026年02月27日]
    掲載