7-Zip の脆弱性 CVE-2025-53816 が FIX：システム・クラッシュに至る可能性

New 7-Zip Vulnerability Enables Malicious RAR5 File to Crash Your System

2025/07/21 CyberSecurityNews — 人気のファイル・アーカイバ 7-Zip に、 深刻なメモリ破損の脆弱性が発見された。この脆弱性の侵害に成功した攻撃者は、悪意の RAR5 アーカイブ・ファイルを作成し、サービス拒否状態を引き起こす機会を得る。この脆弱性 CVE-2025-53816 (CVSS：5.5：Medium) は、GHSL-2025-058 と指定されており、7-Zip のバージョン 25.00 未満のすべてのバージョンに影響を与える。

脆弱性 CVE-2025-53816 は、GitHub Security Lab のセキュリティ研究者 Jaroslav Lobacevski により発見された。この脆弱性が悪用されても、任意のコード実行につながる確率は低いとされるが、信頼できないアーカイブ・ファイルを処理するシステムにおいては、サービス拒否攻撃のリスクが生じるという。

脆弱性 CVE-2025-53816 の詳細

この脆弱性は、7-Zip の RAR5 デコーダー実装における、ヒープバッファ・オーバーフローに起因する。具体的には、破損したアーカイブ・データからの復元を試みる際に、NCompress::NRar5::CDecoder コンポーネントのゼロ埋め処理で不具合が生じる。

根本的な原因は、メモリのゼロクリア操作中の rem 値の誤計算にある。RAR5 アーカイブを処理する際に、デコーダーは  My_ZeroMemory(_window + _winPos, (size_t)rem) を呼び出す。ここで、rem パラメーターは _lzEnd - lzSize として計算される。しかし、この _lzEnd 変数は、アーカイブ内の前のアイテムのサイズに依存するため、攻撃者による制御が可能になってしまう。

その結果として攻撃者は、割り当てられたヒープバッファ境界を超えるゼロ埋めを達成し、隣接するメモリ領域を破壊することで、アプリケーション・クラッシュを引き起こせる。

AddressSanitizer (ASAN) によるテストでは、特別に作成された RAR5 ファイルにより、ヒープバッファ・オーバーフローを引き起こせることが確認された。また、ある PoC では、割り当てられたバッファを超えて、9,469 Byte の書き込みに成功しているという。

世界で最大級のユーザー・ベースを持つファイル・アーカイバ 7-Zip は、月間 130 万件以上の公式サイト・アクセスがあるほか、さまざまな配布チャネルを通じて、数百万件がダウンロードされるという。そのため、個人／企業の環境において、この脆弱性が大きな影響を及ぼす可能性がある。

このようなメモリ破損の脆弱性は、システム・クラッシュ／データ破損／サービス停止といった、深刻な被害をもたらすものである。

脆弱性 CVE-2025-53816 が悪用されても、リモート・コード実行に至る可能性は低いとされるが、7-Zip プロセスを確実にクラッシュさせる手段が生じるため、自動化されたファイル処理やユーザー・ワークフローの妨害につながる恐れがある。

最近の脅威調査では、アーカイブ・ファイルの悪用が、すべてのマルウェア配信手法の 39％を占め、最も多用されている形式であるとされている。その点で、この脆弱性の影響が懸念される。

セキュリティ対策を回避しながら、ペイロードを送り込む手段として、脅威アクターたちはアーカイブ処理の脆弱性を常に狙っている。

公開までの経緯と対応

この脆弱性は、責任ある開示手続きに従って報告された：

  • 2025年4月24日：7-Zip 開発者に非公開で報告
  • 2025年4月29日：開発チームが報告を確認
  • 2025年7月5日：7-Zip バージョン 25.00 で修正完了

開発者である Igor Pavlov は、2025年7月5日にリリースされた 7-Zip 25.00 において、この脆弱性を修正した。それに加えて、圧縮処理における CPU スレッドの活用強化や性能改善も行われている。

すべての 7-Zip ユーザーに推奨されるのは、バージョン 25.00 以降へと、速やかにアップグレードすることだ。なお、7-Zip には自動更新機能が存在しないため、公式サイトから最新のバージョンを、手動でダウンロードしてインストールする必要がある。

また、信頼できないアーカイブ・ファイルを処理するエンタープライズ環境においては、追加のセキュリティ対策を講じることが望ましい。たとえば、不審な RAR5 アーカイブへのアクセス制限や、処理前のファイル検証プロセスの導入などが有効とされる。

7-Zip の脆弱性 CVE-2025-53816 が FIX とのことです。悪意の RAR5 アーカイブを扱うだけでクラッシュにつながる危険なものだと、この記事は指摘しています。ご利用のユーザーさんは、十分に ご注意ください。よろしければ、7-Zip で検索も、ご参照ください。