התגלתה פגיעות אבטחה ב- WinZip העלולה לאפשר לפושעי סייבר להפעיל מרחוק קוד זדוני במערכות מחשוב. פגם אבטחה זה נוגע לאופן שבו מנתח WinZip קבצי 7Z ועלול להיות מנוצל אם מקיים המשתמש אינטראקציה עם קובץ זדוני או עם דף אינטרנט זדוני.
הפגיעות, הנושאת ציון CVSS של 7.8, נובעת מאימות לא מספיק של נתונים במהלך ניתוח קבצי 7Z. לפי הייעוץ שפורסם: "הבעיה נובעת מהיעדר אימות נאות של נתונים שסופקו על ידי המשתמש, מה שעלול לגרום לכתיבה מעבר לסוף מאגר שהוקצה." לאחר מכן יכולים פושעי סייבר למנף את הכתיבה מחוץ לתחום כדי להפעיל מרחוק קוד בהקשר של תהליך WinZip הנוכחי.
בעוד שהפגיעות עצמה הינה חמורה, דורש ניצול הפגיעות אינטראקציה של המשתמשים. הייעוץ מבהיר כי "נדרשת אינטראקציה של משתמש כדי לנצל את הפגיעות הזו, בכך שהיעד חייב לבקר בדף זדוני או לפתוח קובץ זדוני." המשמעות היא שפושעי הסייבר צריכים להערים על המשתמשים לפתוח קובץ 7Z בעל מבנה מיוחד או לבקר באתר אינטרנט שנפגע ומארח קובץ כזה. פושעי הסייבר עשויים להשתמש בטקטיקות של הנדסה חברתית כמו דיוג או פרסומות זדוניות על מנת לפתות קורבנות.
ההשפעה הפוטנציאלית של ניצול מוצלח של הפגיעות היא משמעותית: פגיעויות של הפעלת קוד מרחוק יכולות לאפשר לפושעי סייבר להשיג שליטה מלאה על מערכת המחשוב של הקורבן, מה שמאפשר להם לגנוב מידע רגיש, להתקין נוזקות, או אפילו להשתמש במערכת המחשוב שנפרצה כחלק מרשת בוט.
החדשות הטובות הן שפגיעות האבטחה הזו טופלה בגירסת WinZip 29.0. מומלץ מאד למשתמשים של גרסאות קודמות לשדרג לגרסה 29.0 באופן מיידי כדי להגן על עצמם מפני איום אבטחת מידע זה. בהתחשב בחומרה הפוטנציאלית של הפגיעות, קריטי לפעול מהר.
