La sicurezza in ambito informatico riveste sempre più un ruolo di cruciale importanza, i colossi del settore sono costantemente sotto il mirino di hacker e truffatori, ma devono anche fronteggiare falle e problematiche interne di vario tipo, dovute a errori nello sviluppo e a fattori vari. Oggi parliamo di 7-Zip, popolare software di decompressione file open source e del presunto exploit zero-day che lo riguarda.

Il creatore di 7-Zip sostiene che l’exploit non è reale

La vicenda che vi raccontiamo oggi ha preso il via sul popolare social network X (ex Twitter) dove l’utente @NSA_Employee39 avrebbe pubblicato un exploit zero-day per la popolare utility di decompressione file open source 7-Zip. La notizia ha comprensibilmente fatto il giro del web in poco tempo ma, fortunatamente, sembra che le cose non stiano come sono state raccontate inizialmente.

Per chi non lo sapesse, una vulnerabilità zero-day è una criticità presente in un software informatico non ancora documentata, non nota allo sviluppatore o all’azienda a capo del software, e dunque individuata e sfruttabile per la prima volta in assoluto.

In seguito al post originale già menzionato, Igor Pavlov, ovvero colui dietro al progetto 7-Zip, ha deciso di chiarire la situazione tentando di tranquillizzare la community di appassionati; secondo lo sviluppatore infatti “la conclusione comune è che questo falso codice exploit di Twitter è stato generato da LLM (AI)”.

A sostegno della propria affermazione, lo sviluppatore sottolinea come all’interno del falso codice sia presente la seguente dichiarazione:

Questo exploit prende di mira una vulnerabilità nel decoder LZMA del software 7-Zip. Utilizza un archivio .7z contraffatto con un flusso LZMA malformato per innescare una condizione di buffer overflow nella funzione RC_NORM.

Tuttavia secondo Pavlov:

Non c’è alcuna RC_NORMfunzione nel decoder LZMA.
Invece, 7-Zip contiene RC_NORMmacro nel codificatore LZMA e nel decoder PPMD. Quindi, il codice di decodifica LZMA non chiama RC_NORM. E l’affermazione su RC_NORMnel commento exploit non è vera.

Dunque secondo quanto sostiene non solo Pavlov, ma anche diversi addetti ai lavori, il tutto sarebbe stato creato con l’ausilio dell’intelligenza artificiale, sia il falso exploit zero-day che lo stesso testo dell’utente @NSA_Employee39.

Chi utilizza il software di decompressione in questione non dovrebbe dunque avere nulla da temere, tuttavia, qualora non vi fidaste potete sempre effettuare una scansione antivirus dei file compressi in formato .7z prima della loro apertura.

In linea generale, considerando la natura open source di 7-Zip, non dovrebbe esserci di che preoccuparsi; di solito infatti questa tipologia di software è considerata più sicura rispetto alle controparti di proprietà delle aziende e questo per il semplice fatto che c’è un’intera community di appassionati sempre al lavoro per controllare quanto offerto alla stessa community.

Rimane solo il dubbio sul perché l’utente già menzionato abbia voluto creare tanto allarmismo in maniera abbastanza raffazzonata, un presunto dipendente NSA non si sognerebbe mai di divulgare pubblicamente una scoperta di questo tipo, tentando inoltre di creare problemi ad un progetto open source il cui sviluppatore è ancora attivo e pronto a smentirlo.

Potrebbero interessarti anche: