7-Zip两大高危漏洞可导致任意代码执行（CVE-2025-11001/11002）
原文中文，约1100字，阅读约需3分钟。
📝
内容提要
Zero Day Initiative（ZDI）披露了7-Zip中的两个高危漏洞（CVE-2025-11001和CVE-2025-11002），攻击者可利用特制ZIP文件实现任意代码执行。漏洞已在7-Zip 25.00版本中修复，用户应尽快升级以降低风险。
🔎
延伸解读
漏洞影响范围
这两个漏洞不仅影响独立版7-Zip用户，还可能对嵌入式或自动化系统造成威胁。特别是在企业环境中，自动处理压缩文件的系统可能遭受静默攻击，导致严重的安全隐患。用户需关注7-Zip的使用场景，以评估潜在风险。
攻击方式与防范
攻击者可能通过伪装恶意ZIP文件为常见文档（如简历或发票）来诱骗用户解压。用户在打开文件时需保持警惕，避免轻易信任不明来源的压缩包。同时，及时升级至7-Zip 25.00版本是防范此类攻击的有效措施。
权限提升风险
利用这些漏洞，攻击者可以在受影响的系统上以服务账户的权限执行任意代码。具体的权限提升程度取决于7-Zip的使用方式，这意味着在某些情况下，攻击者可能获得更高的系统权限，增加了潜在的安全风险。
❓
Q&A
7-Zip中有哪些高危漏洞被披露？
7-Zip中披露了两个高危漏洞，编号为CVE-2025-11001和CVE-2025-11002。
这些漏洞会导致什么后果？
这些漏洞允许攻击者利用特制ZIP文件实现任意代码执行。
如何修复7-Zip中的这些漏洞？
用户应立即升级至7-Zip 25.00版本以修复这些漏洞。
攻击者如何利用这些漏洞进行攻击？
攻击者可以通过诱骗用户打开恶意ZIP文件来利用这些漏洞。
这些漏洞的根本缺陷是什么？
漏洞的根本缺陷在于对ZIP压缩包内符号链接的处理不当。
使用7-Zip的嵌入式系统会面临什么风险？
嵌入式系统可能遭受静默攻击，攻击者可以在没有用户交互的情况下利用这些漏洞。
🏷️
