7-Zip悄悄修复某个安全漏洞没有发布公告 其他基于7z的压缩软件也需更新
原文中文，约1300字，阅读约需3分钟。
📝
内容提要
开源压缩管理器7-Zip修复了两个缓冲区溢出漏洞，但未发布安全公告，引起担忧。漏洞已修复，但开发者拒绝提及。漏洞对本地用户影响较小，但在服务器上使用可能导致数据泄露。开发者未发布安全公告引发争议，称公告可能增加攻击风险。安全研究人员和开源社区对此担忧。
🔎
延伸解读
漏洞修复与披露的争议
7-Zip 修复了两个缓冲区溢出漏洞，但开发者 Igor Pavlov 未发布安全公告，也未在更新日志中提及。开发者认为公告可能增加攻击风险，但安全研究人员指出，漏洞通报已过 272 天，修复版本发布也已 106 天，不公告反而可能导致用户更新滞后，扩大攻击面。
服务器环境下的潜在风险
这些漏洞对本地用户影响较小，但在服务器上使用 7-Zip 时风险显著增加。如果服务器部署 7-Zip 用于在线解压或压缩包预览，攻击者可能利用漏洞窃取大量信息。因此，在服务器环境中使用 7-Zip 的用户应尽快更新到已修复的版本。
基于 7z 的软件也需更新
由于 7-Zip 是开源软件，其他基于 7z 的压缩软件也可能包含相同漏洞。这些软件的开发者需要跟进更新，用户也应关注所用软件的版本，确保已包含修复。否则，即使 7-Zip 本身已修复，衍生软件仍可能成为攻击入口。
❓
Q&A
7-Zip修复了哪些安全漏洞？
7-Zip修复了两个缓冲区溢出漏洞，分别是CVE-2023-52168和CVE-2023-52169。
为什么7-Zip没有发布安全公告？
开发者Igor Pavlov认为发布安全公告可能会增加攻击风险，因此没有发布相关公告。
这些漏洞对本地用户的影响大吗？
对本地用户的影响较小，但在服务器上使用时可能导致数据泄露。
开源社区对7-Zip的处理方式有什么看法？
开源社区对开发者未发布公告表示担忧，认为这可能导致修复版本更新率降低，增加攻击面。
7-Zip的漏洞是何时被发现的？
漏洞最初于2023年8月18日被发现，并在同日通报给开发者。
修复后的7-Zip版本是什么时候发布的？
修复版本在2024年1月31日发布，版本号为7-Zip v24.01 Beta。
🏷️
