Lỗ hổng UnRAR mới có thể cho phép tin tặc tấn công máy chủ Zimbra Webmail

Một lỗ hổng bảo mật mới đã được phát hiện trong tiện ích UnRAR của RARlab, nếu khai thác thành công có thể cho phép kẻ tấn công thực thi mã tùy ý trên các hệ thống bị ảnh hưởng.

Lỗ hổng, có định danh CVE-2022-30333, liên quan đến vấn đề path traversal trong các phiên bản Unix của UnRAR, có thể được kích hoạt khi giải nén một tệp RAR độc hại.

Sau khi được báo cáo vào ngày 4 tháng 5 năm 2022, lỗ hổng đã được RarLab giải quyết trong phiên bản 6.12 được phát hành vào ngày 6 tháng 5. Các phiên bản khác của phần mềm, bao gồm những phiên bản dành cho hệ điều hành Windows và Android, không bị ảnh hưởng.

Nhà nghiên cứu Simon Scannell của SonarSource cho biết: “Kẻ tấn công có thể tạo ra các tệp bên ngoài thư mục hiện tại khi một ứng dụng hoặc người dùng giải nén một tệp RAR không an toàn". Nếu có thể ghi vào một vị trí đã biết, kẻ tấn công có khả năng lợi dụng điều này để dẫn đến việc thực thi các lệnh tùy ý trên hệ thống."

Bất kỳ phần mềm nào sử dụng phiên bản UnRAR chưa được vá để giải nén các tệp không an toàn đều bị ảnh hưởng bởi lỗ hổng.

Điều này cũng bao gồm phần mềm Zimbra collaboration, trong đó lỗ hổng có thể dẫn đến việc thực thi mã từ xa mà không cần xác thực trên một máy chủ bị ảnh hưởng, cho phép kẻ tấn công có toàn quyền truy cập vào máy chủ email và thậm chí lạm dụng nó để truy cập hoặc ghi đè các tài nguyên nội bộ khác trong mạng của tổ chức.

Bản chất lỗ hổng liên quan đến một cuộc tấn công symbolic link trong đó tệp RAR được tạo ra có chứa một symlink là đường dẫn có cả dấu gạch chéo và dấu gạch chéo ngược (ví dụ: "..\..\..\tmp/shell") để vượt qua các kiểm tra và giải nén nó vào một thư mục không mong muốn.

Cụ thể hơn, lỗ hổng lạm dụng một chức năng được thiết kế để chuyển đổi dấu gạch chéo ngược ('\') thành dấu gạch chéo ('/') để tệp RAR được tạo trên Windows có thể được giải nén trên hệ thống Unix, do đó thay đổi symlink trên thành "../../../tmp/shell".

Bằng cách lợi dụng tính năng này, kẻ tấn công có thể ghi các tệp tùy ý ở bất kỳ đâu trên hệ thống tệp đích, bao gồm cả việc tạo shell JSP trong thư mục web của Zimbra và thực thi các lệnh độc hại.

Scannell lưu ý "yêu cầu duy nhất cho cuộc tấn công này là UnRAR được cài đặt trên máy chủ, điều này rất có khả năng vì UnRAR cần thiết cho việc quét virus và kiểm tra thư rác trong các tệp RAR".

Nguồn: thehackernews.com.