{"id":311671,"date":"2025-05-21T00:01:39","date_gmt":"2025-05-20T22:01:39","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=311671"},"modified":"2025-05-20T17:41:13","modified_gmt":"2025-05-20T15:41:13","slug":"schwachstelle-cve-2025-0411-in-7-zip-ermoeglicht-mow-bypass","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2025\/05\/21\/schwachstelle-cve-2025-0411-in-7-zip-ermoeglicht-mow-bypass\/","title":{"rendered":"Schwachstelle CVE-2025-0411 in 7-ZIP erm\u00f6glicht MoW-Bypass"},"content":{"rendered":"<p><img decoding=\"async\" style=\"float: left; margin: 0px 10px 0px 0px; display: inline;\" title=\"Sicherheit (Pexels, allgemeine Nutzung)\" src=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2021\/04\/Sicherheit_klein.jpg\" alt=\"Sicherheit (Pexels, allgemeine Nutzung)\" width=\"200\" align=\"left\" \/>Ich hole mal ein Thema hoch, was Nutzer des Archivprogramms 7-ZIP betrifft. Seit Januar 2025 ist die Schwachstelle CVE-2025-0411 in 7-ZIP bekannt. Diese erm\u00f6glicht einem Remote-Angreifer unter Windows die Mark of the Web-Kennung als Schutzfunktion zu umgehen und wird in Angriffen aktiv ausgenutzt.<\/p>\n<p><!--more--><\/p>\n<h2>7-ZIP Schwachstelle CVE-2025-0411<\/h2>\n<p><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/vg09.met.vgwort.de\/na\/c7492b9ca14247a3b55e17a8f441f4b6\" alt=\"\" width=\"1\" height=\"1\" \/>Bei\u00a0<a href=\"https:\/\/nvd.nist.gov\/vuln\/detail\/CVE-2025-0411\" target=\"_blank\" rel=\"noopener\">CVE-2025-0411<\/a> handelt es sich um eine 7-Zip Mark-of-the-Web Bypass-Schwachstelle, die seit dem 25. Januar 2025 bekannt ist und von der Zero Day Initiative entdeckt wurde.<\/p>\n<p>\u00dcber diese Sicherheitsl\u00fccke k\u00f6nnen Remote-Angreifer den Mark-of-the-Web-Schutzmechanismus von Windows in betroffenen Installationen von 7-Zip umgehen. Um diese Sicherheitsl\u00fccke auszunutzen, ist eine Benutzerinteraktion erforderlich, da das Ziel eine b\u00f6sartige Seite besuchen oder eine b\u00f6sartige Datei \u00f6ffnen muss.<\/p>\n<p>Die Schwachstelle ergibt sich aus der Handhabung von archivierten Dateien. Beim Extrahieren von Dateien aus einem manipulierten Archiv, das das Mark-of-the-Web tr\u00e4gt, \u00fcbertr\u00e4gt 7-Zip das Mark-of-the-Web nicht auf die extrahierten Dateien. Ein Angreifer kann diese Sicherheitsl\u00fccke ausnutzen, um beliebigen Code im Kontext des aktuellen Benutzers auszuf\u00fchren.<\/p>\n<p>Die Zero Day Initiative (ZDI) hat den Sicherheitshinweis <a href=\"https:\/\/www.zerodayinitiative.com\/advisories\/ZDI-25-045\/\" target=\"_blank\" rel=\"noopener\">ZDI-25-045<\/a> dazu ver\u00f6ffentlicht. Die Schwachstelle wurde zum 1. Oktober 2024 an den 7-ZIP-Entwickler berichtet und ist in der 7-ZIP-Version 24.09 geschlossen. Zum 19. Januar 2025 wurde der Sachverhalt ver\u00f6ffentlicht. Hinweise zur Entdeckung der Ausnutzung dieser Schwachstelle und zur Abschw\u00e4chung finden sich <a href=\"https:\/\/www.vicarius.io\/vsociety\/posts\/cve-2025-0411-7-zip-mitigation-vulnerability\" target=\"_blank\" rel=\"noopener\">hier<\/a>.<\/p>\n<h2>Angriffe und weitere Informationen<\/h2>\n<p>Das Thema ist mir die Tage erneut durch nachfolgenden <a href=\"https:\/\/x.com\/betullssahin\/status\/1921625016380145707\" target=\"_blank\" rel=\"noopener\">Tweet<\/a> untergekommen. Jemand hat das Ganze auf GitHub im Post\u00a0<a href=\"https:\/\/github.com\/betulssahin\/CVE-2025-0411-7-Zip-Mark-of-the-Web-Bypass\/blob\/main\/en\/CVE-2025-0411%207-Zip%20Mark-of-the-Web%20Bypass.md\" target=\"_blank\" rel=\"noopener\">CVE-2025-0411-7-Zip-Mark-of-the-Web-Bypass<\/a> n\u00e4her dokumentiert.<\/p>\n<p><a href=\"https:\/\/github.com\/betulssahin\/CVE-2025-0411-7-Zip-Mark-of-the-Web-Bypass\/blob\/main\/en\/CVE-2025-0411%207-Zip%20Mark-of-the-Web%20Bypass.md\" target=\"_blank\" rel=\"noopener\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/i.postimg.cc\/sgqfTz74\/image.png\" alt=\"7-ZIP MoW vulnerability CVE-2025-0411 \" width=\"593\" height=\"691\" \/><\/a><\/p>\n<p>Zum 27. Januar 2025 hat das britische NHS die Warnung\u00a0<a href=\"https:\/\/digital.nhs.uk\/cyber-alerts\/2025\/cc-4610\" target=\"_blank\" rel=\"noopener\">Active Exploitation Reported for CVE-2025-0411 in 7-Zip<\/a> zu dieser Schwachstelle herausgegeben und schrieb, dass diese in Kampagnen aktiv ausgenutzt werde. Ein <a href=\"https:\/\/www.trendmicro.com\/de_de\/research\/25\/a\/cve-2025-0411-ukrainian-organizations-targeted.html\" target=\"_blank\" rel=\"noopener\">zweiter Bericht<\/a> erschien am 4. Februar 2025 von Trend Micro und besagt, dass Organisationen in der Ukraine \u00fcber die Schwachstelle angegriffen wurden.<\/p>\n<p>In obigem Screenshot greift ein\u00a0weiterer <a href=\"https:\/\/x.com\/Dinosn\/status\/1920557814688145710\" target=\"_blank\" rel=\"noopener\">Tweet<\/a> von Nicolas Krassas eine zweite Schwachstelle <a href=\"https:\/\/www.crowdfense.com\/cve-2024-11477-7zip-zstd-buffer-overflow\/\" target=\"_blank\" rel=\"noopener\">CVE-2024-11477<\/a> in 7-Zip auf.\u00a0 Die 7-Zip ZSTD Buffer Overflow-Schwachstelle wird in <a href=\"https:\/\/www.crowdfense.com\/cve-2024-11477-7zip-zstd-buffer-overflow\/\" target=\"_blank\" rel=\"noopener\">diesem Artikel<\/a> beschrieben. Der Angriffsvektor kann nur durch die Verwendung von 7-Zip zur Dekomprimierung einer speziell gestalteten Datei in den Versionen 24.06 und 24.05 ausgenutzt werden &#8211; mit der 7-ZIP-Version 24.09 ist auch diese Schwachstelle geschlossen.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Ich hole mal ein Thema hoch, was Nutzer des Archivprogramms 7-ZIP betrifft. Seit Januar 2025 ist die Schwachstelle CVE-2025-0411 in 7-ZIP bekannt. Diese erm\u00f6glicht einem Remote-Angreifer unter Windows die Mark of the Web-Kennung als Schutzfunktion zu umgehen und wird in &hellip; <a href=\"https:\/\/borncity.com\/blog\/2025\/05\/21\/schwachstelle-cve-2025-0411-in-7-zip-ermoeglicht-mow-bypass\/\">Weiterlesen <span class=\"meta-nav\">&rarr;<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426,7459],"tags":[977,4328,3836],"class_list":["post-311671","post","type-post","status-publish","format-standard","hentry","category-sicherheit","category-software","tag-7-zip","tag-sicherheit","tag-software"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/311671","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=311671"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/311671\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=311671"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=311671"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=311671"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}