7-Zip 是由 Igor Pavlov 开发的免费开源文件压缩工具。它具有高压缩比，可以用于压缩和解压文件。该应用程序支持多种压缩格式，包括其自有的 7z 格式、XZ、BZIP2、GZIP、TAR、ZIP、WIM 等。

一、漏洞描述

近日，安全研究人员lunbun披露7-Zip 25.01之前版本存在恶意软链接创建漏洞。攻击者可构造恶意压缩包，利用符号链接绕过访问限制，新建敏感文件（如SSH密钥、系统配置文件）。在特定条件下（解压位置为根目录或者解压位置存在可利用的符号链接文件），可能进一步导致代码执行。

该漏洞的核心在于7-Zip处理压缩包中的符号链接时存在缺陷，允许用户在解压目录释放指向其他目录的符号链接，导致后续在同一目录解压文件时目录遍历。如果用户解压目录为根目录，则攻击者可创建类似指向”/proc/self/cwd/../../”目录的符号链接，利用当前目录为跳板，写入”~/.ssh/authorized_keys”等敏感文件。

经360漏洞研究院团队对该漏洞进行进一步分析，发现攻击者利用该漏洞实现任意代码执行存在较大限制。第一，攻击者需要事先拥有根目录以及敏感文件的读写权限。其次，攻击者无法在敏感文件已存在的情况下，无感知地覆盖敏感文件。此外，攻击者创建的恶意软链接在指向路径上存在限制。

处置优先级：高

漏洞类型：目录遍历

漏洞危害等级：低

CVSS 3.1：3.6

技术细节状态：部分公开

利用成熟度：POC/EXP 未公开/已公开

在野利用状态：未发现

二、漏洞影响

CVE-2025-55188 影响以下版本：

7-Zip < 25.01

三、解决方案

正式防护方案

立即升级至7-Zip 25.01或更高版本。该版本已修复符号链接处理的安全缺陷，能够有效防止恶意符号链接的创建和利用。

临时缓解措施

1. 限制解压位置：避免在系统根目录下解压来自不可信来源的压缩文件，特别是在支持符号链接的环境中。

2. 权限控制：避免使用管理员权限或root权限解压未知来源的压缩包。

3. 环境配置：在Windows系统中，关闭开发者模式以限制符号链接的创建能力。

4. 服务管理：关闭不必要的系统服务或端口，防止攻击者通过创建恶意配置文件入侵系统服务。

5. 文件监控：部署文件完整性监控工具，及时发现敏感文件的异常修改。

漏洞复现

360漏洞研究院已复现7-Zip恶意软链接创建漏洞（CVE-2025-55188），通过写入../../目录文件的方式进行了验证。

解压第一个压缩包，释放符号链接

第二个压缩包文件结构

解压第二个压缩包，触发目录遍历释放到../../

7-Zip 25.01已修复此漏洞，新版本在源代码`
ArchiveExtractCallback.cpp`文件中新增了`
ParentDirDots_after_NonParent`变量，用于检测并禁止创建指向目标为`./Parent/../../`的恶意符号链接。

7-Zip 25.01版本已修复CVE-2025-55188