JVNDB-2026-021658

7-Zipにおける保護メカニズムの不具合に関する脆弱性

Windows向け7-Zipのバージョン26.02以前には、細工されたRAR5アーカイブを展開する際にMark-of-the-Webを保持できない問題があります。これは、アーカイブに含まれるZone.Identifierストリームを抑制する機能が正確な名前「Zone.Identifier」にのみ一致し、RAR5のSTMレコード「:Zone.Identifier:$DATA」には一致しないためです。NTFSはこれを同じストリームとして正規化し、伝播されたインターネットゾーンマーカーをZoneId=0で上書きしてしまいます。さらに、もう一つのSTMレコード「::$DATA」が展開されたファイルのデフォルトデータストリームを上書きします。このため、攻撃者はSmartScreenやMotWの警告を回避し、ファイル内容を偽装することが可能になります。

7-Zip

• 7-Zip 26.02 およびそれ以前

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

VulnCheck

• VulnCheck : 7-Zip - Mark-of-the-Web Bypass via RAR5 Alternate Data Stream Name Collision  | Advisories | VulnCheck

1. 保護メカニズムの不具合(CWE-693) [その他]

1. CVE-2026-58052

1. National Vulnerability Database (NVD) : CVE-2026-58052
2. 関連文書 : GitHub - ip7z/7zip: 7-Zip  GitHub

• [2026年07月01日]
    掲載