RARlab’ın UnRAR yardımcı programında, başarıyla kullanılırsa, uzaktaki bir saldırganın ikili sisteme dayanan bir sistemde rastgele kod yürütmesine izin verebilecek yeni bir güvenlik açığı açıklandı.
CVE-2022-30333 tanımlayıcısına atanan kusur, UnRAR’ın Unix sürümlerinde, kötü amaçlarla oluşturulmuş bir RAR arşivi çıkarıldığında tetiklenebilen bir yol geçişi güvenlik açığıyla ilgilidir.
4 Mayıs 2022’deki sorumlu açıklamanın ardından, eksiklik, RarLab tarafından aşağıdakilerin bir parçası olarak ele alındı: sürüm 6.12 6 Mayıs’ta yayınlandı. Windows ve Android işletim sistemleri için olanlar da dahil olmak üzere, yazılımın diğer sürümleri etkilenmez.
SonarSource araştırmacısı Simon Scannell, “Bir uygulama veya kurban kullanıcı güvenilmeyen bir arşivi çıkardığında, saldırgan hedef çıkarma dizininin dışında dosyalar oluşturabilir” söz konusu Salı raporunda. “Bilinen bir yere yazabiliyorlarsa, sistem üzerinde keyfi komutların yürütülmesine yol açacak şekilde onu kullanmaları muhtemeldir.”
UnRAR’ın yamasız bir sürümünü kullanarak güvenilmeyen arşivleri çıkaran tüm yazılımların bu kusurdan etkileneceğini belirtmekte fayda var.
Bu aynı zamanda, güvenlik açığının güvenlik açığı bulunan bir örnekte önceden doğrulanmış uzaktan kod yürütülmesine yol açabileceği ve saldırganın bir e-posta sunucusuna tam erişim ve hatta kuruluşun ağındaki diğer dahili kaynaklara erişmek veya bunların üzerine yazmak için onu kötüye kullandığı Zimbra işbirliği paketini de içerir.
Güvenlik açığı, özünde, bir sembolik bağlantı bir RAR arşivinin, mevcut kontrolleri atlamak ve ayıklamak için hem eğik hem de ters eğik çizgilerin (örneğin, “……tmp/shell”) bir karışımı olan bir sembolik bağlantı içerecek şekilde oluşturulduğu saldırı beklenen dizinin dışında.
Daha spesifik olarak, zayıflık, ters eğik çizgileri (”) eğik çizgiye (“https://thehackernews.com/”) dönüştürmek için tasarlanmış bir işlevle ilgilidir, böylece Windows’ta oluşturulan bir RAR arşivi bir Unix’te ayıklanabilir. sistem, yukarıda belirtilen sembolik bağlantıyı etkin bir şekilde “../../../tmp/shell.” olarak değiştirir.
Saldırgan, bu davranıştan yararlanarak, Zimbra’nın web dizininde bir JSP kabuğu oluşturmak ve kötü amaçlı komutlar yürütmek dahil olmak üzere, hedef dosya sisteminin herhangi bir yerine rastgele dosyalar yazabilir.
Scannell, “Bu saldırı için tek gereklilik, sunucuda UnRAR’ın kurulu olmasıdır; bu, RAR arşivi virüs taraması ve spam denetimi için gerekli olduğu için beklendiği gibi” dedi.
