{
  "document": {
    "aggregate_severity": {
      "text": "mittel"
    },
    "category": "csaf_base",
    "csaf_version": "2.0",
    "distribution": {
      "tlp": {
        "label": "WHITE",
        "url": "https://www.first.org/tlp/"
      }
    },
    "lang": "de-DE",
    "notes": [
      {
        "category": "legal_disclaimer",
        "text": "Das BSI ist als Anbieter f\u00fcr die eigenen, zur Nutzung bereitgestellten Inhalte nach den allgemeinen Gesetzen verantwortlich. Nutzerinnen und Nutzer sind jedoch daf\u00fcr verantwortlich, die Verwendung und/oder die Umsetzung der mit den Inhalten bereitgestellten Informationen sorgf\u00e4ltig im Einzelfall zu pr\u00fcfen."
      },
      {
        "category": "description",
        "text": "7-Zip ist ein Extraktionsdienstprogramm f\u00fcr Archive, die im ZIP-Format komprimiert sind.",
        "title": "Produktbeschreibung"
      },
      {
        "category": "summary",
        "text": "Ein lokaler Angreifer kann eine Schwachstelle in 7-Zip ausnutzen, um beliebigen Programmcode auszuf\u00fchren.",
        "title": "Angriff"
      },
      {
        "category": "general",
        "text": "- Sonstiges\n- UNIX\n- Windows",
        "title": "Betroffene Betriebssysteme"
      }
    ],
    "publisher": {
      "category": "other",
      "contact_details": "csaf-provider@cert-bund.de",
      "name": "Bundesamt f\u00fcr Sicherheit in der Informationstechnik",
      "namespace": "https://www.bsi.bund.de"
    },
    "references": [
      {
        "category": "self",
        "summary": "WID-SEC-W-2024-3512 - CSAF Version",
        "url": "https://wid.cert-bund.de/.well-known/csaf/white/2024/wid-sec-w-2024-3512.json"
      },
      {
        "category": "self",
        "summary": "WID-SEC-2024-3512 - Portal Version",
        "url": "https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2024-3512"
      },
      {
        "category": "external",
        "summary": "ZDI Advisory vom 2024-11-20",
        "url": "https://www.zerodayinitiative.com/advisories/ZDI-24-1532/"
      }
    ],
    "source_lang": "en-US",
    "title": "7-Zip: Schwachstelle erm\u00f6glicht Codeausf\u00fchrung",
    "tracking": {
      "current_release_date": "2024-11-20T23:00:00.000+00:00",
      "generator": {
        "date": "2024-11-21T10:04:15.234+00:00",
        "engine": {
          "name": "BSI-WID",
          "version": "1.3.8"
        }
      },
      "id": "WID-SEC-W-2024-3512",
      "initial_release_date": "2024-11-20T23:00:00.000+00:00",
      "revision_history": [
        {
          "date": "2024-11-20T23:00:00.000+00:00",
          "number": "1",
          "summary": "Initiale Fassung"
        }
      ],
      "status": "final",
      "version": "1"
    }
  },
  "product_tree": {
    "branches": [
      {
        "branches": [
          {
            "branches": [
              {
                "category": "product_version_range",
                "name": "\u003c24.07",
                "product": {
                  "name": "Open Source 7-Zip \u003c24.07",
                  "product_id": "T039366"
                }
              },
              {
                "category": "product_version",
                "name": "24.07",
                "product": {
                  "name": "Open Source 7-Zip 24.07",
                  "product_id": "T039366-fixed",
                  "product_identification_helper": {
                    "cpe": "cpe:/a:7-zip:7-zip:24.07"
                  }
                }
              }
            ],
            "category": "product_name",
            "name": "7-Zip"
          }
        ],
        "category": "vendor",
        "name": "Open Source"
      }
    ]
  },
  "vulnerabilities": [
    {
      "cve": "CVE-2024-11477",
      "notes": [
        {
          "category": "description",
          "text": "Es besteht eine Schwachstelle in 7-Zip. Dieser Fehler betrifft die Zstandard-Dekomprimierung aufgrund des Fehlens einer ordnungsgem\u00e4\u00dfen Validierung der vom Benutzer bereitgestellten Daten, was zu einem Integer-Unterlauf vor dem Schreiben in den Speicher f\u00fchren kann. Ein lokaler Angreifer kann diese Schwachstelle ausnutzen, um beliebigen Code im Kontext des aktuellen Prozesses auszuf\u00fchren. Eine erfolgreiche Ausnutzung erfordert eine Benutzerinteraktion, das Opfer muss mit der Zstandard-Bibliothek interagieren."
        }
      ],
      "product_status": {
        "known_affected": [
          "T039366"
        ]
      },
      "release_date": "2024-11-20T23:00:00.000+00:00",
      "title": "CVE-2024-11477"
    }
  ]
}