30.06.2026 15:07
Пост канала «SecurityLab.ru» от 30.06.2026
На GitHub слили список незакрытых дыр — CVE ещё нет, а цели уже есть
Обычно об уязвимостях сначала сообщают разработчикам и дают время на исправление, а детали раскрывают позже. На GitHub появился проект, работающий наоборот: пользователь под ником bikini создал репозиторий Exploitarium и начал публиковать данные о ещё не закрытых уязвимостях нулевого дня сразу в нескольких проектах. Ни одной из них на момент публикации не присвоили официальный идентификатор CVE.
Одна из записей в репозитории касалась архиватора 7-Zip. Для версии 26.01 под Windows описали цепочку действий с RAR5-архивом, где метка MotW хранилась через альтернативный поток данных ADS. Windows использует такие признаки для файлов, скачанных из интернета. Цепочка указывала на вероятную ошибку в парсере формата 7z, а вскоре после публикации разработчик Игорь Павлов выпустил исправление, которое, вероятно, закрыло эту брешь.
К моменту выхода новости GitHub заблокировал репозиторий Exploitarium и аккаунт bikini. Копия проекта осталась доступна через Web Archive. До блокировки пользователи успели отправить автору Pull request с новой информацией об известных им уязвимостях.
#уязвимости #zeroday #кибербезопасность
@SecLabNews
Обычно об уязвимостях сначала сообщают разработчикам и дают время на исправление, а детали раскрывают позже. На GitHub появился проект, работающий наоборот: пользователь под ником bikini создал репозиторий Exploitarium и начал публиковать данные о ещё не закрытых уязвимостях нулевого дня сразу в нескольких проектах. Ни одной из них на момент публикации не присвоили официальный идентификатор CVE.
Одна из записей в репозитории касалась архиватора 7-Zip. Для версии 26.01 под Windows описали цепочку действий с RAR5-архивом, где метка MotW хранилась через альтернативный поток данных ADS. Windows использует такие признаки для файлов, скачанных из интернета. Цепочка указывала на вероятную ошибку в парсере формата 7z, а вскоре после публикации разработчик Игорь Павлов выпустил исправление, которое, вероятно, закрыло эту брешь.
К моменту выхода новости GitHub заблокировал репозиторий Exploitarium и аккаунт bikini. Копия проекта осталась доступна через Web Archive. До блокировки пользователи успели отправить автору Pull request с новой информацией об известных им уязвимостях.
#уязвимости #zeroday #кибербезопасность
@SecLabNews