新的UnRAR漏洞可能让攻击者攻击Zimbra Webmail服务器

RARlab的UnRAR实用程序中发现了一个新的安全漏洞，如果成功利用该漏洞，远程攻击者可以在依赖二进制文件的系统上执行任意代码。

该漏洞被指定为标识符CVE-2022-30333，与UNRR Unix版本中的路径遍历漏洞有关，该漏洞可在提取恶意构建的RAR存档时触发。

在2022年5月4日负责任的披露之后，RarLab在5月6日发布的6.12版本中解决了这一缺陷。该软件的其他版本，包括Windows和Android操作系统版本，不受影响。

SonarSource研究员西蒙·斯坎内尔（Simon Scannell）在周二的一份报告中表示：“当应用程序或受害者用户提取不受信任的档案时，攻击者能够在目标提取目录外创建文件”。“如果他们可以写入已知位置，他们很可能能够利用它在系统上执行任意命令”。

值得指出的是，任何利用UnRAR未修补版本提取不受信任档案的软件都会受到该漏洞的影响。

这还包括Zimbra collaboration suite，其中该漏洞可能导致在易受攻击的实例上执行预认证的远程代码，使攻击者能够完全访问电子邮件服务器，甚至滥用它来访问或覆盖组织网络内的其他内部资源。

图片来源：Simon Scannell

该漏洞的核心与符号链接攻击有关，在该攻击中，RAR归档文件被精心制作，其中包含一个符号链接，该符号链接是正斜杠和反斜杠的混合（例如“..\..\tmp/shell”），以便绕过当前检查并将其提取到预期目录之外。

更具体地说，缺点与一个函数有关，该函数旨在将反斜杠（“\”）转换为正斜杠（“/”），以便可以在Unix系统上提取在Windows上创建的RAR存档，从而有效地将上述符号链接更改为“../../../tmp/shell”

通过利用这种行为，攻击者可以在目标文件系统的任何位置写入任意文件，包括在Zimbra的web目录中创建JSP外壳并执行恶意命令。

Scannell指出：“此次攻击的唯一要求是在服务器上安装UnRAR，这是RAR存档病毒扫描和垃圾邮件检查所必需的”。