Une nouvelle vulnérabilité de sécurité a été divulguée dans l'utilitaire UnRAR de RARlab qui pourrait permettre à un attaquant distant d'exécuter du code arbitraire sur un système vulnérable.

La faille, à laquelle est attribué l'identifiant CVE-2022-30333, concerne une vulnérabilité de traversée de chemin dans les versions Unix de UnRAR qui peut être déclenchée lors de l'extraction d'une archive RAR malicieusement conçue.

"Un attaquant est capable de créer des fichiers en dehors du répertoire d'extraction cible lorsqu'une application ou un utilisateur victime extrait une archive non fiable", a déclaré Simon Scannell, chercheur chez SonarSource, dans un rapport publié mardi. "S'ils peuvent écrire dans un emplacement connu, ils sont susceptibles de pouvoir l'exploiter d'une manière conduisant à l'exécution de commandes arbitraires sur le système."

Il convient de souligner que tout logiciel qui utilise une version non corrigée de UnRAR pour extraire des archives non fiables est affecté par la faille.

Cela inclut également la suite de collaboration Zimbra, où la vulnérabilité pourrait conduire à l'exécution de code à distance pré-authentifié sur une instance vulnérable, donnant à l'attaquant un accès complet à un serveur de messagerie et même l'abuser pour accéder ou écraser d'autres ressources internes au sein du réseau de l'organisation.

La vulnérabilité, à la base, est liée à une attaque par lien symbolique dans laquelle une archive RAR est conçue de telle sorte qu'elle contient un lien symbolique qui est un mélange de barres obliques et de barres obliques inverses (par exemple, "...... mp/shell") de façon à contourner les contrôles actuels et à l'extraire en dehors du répertoire attendu.

Plus précisément, la faiblesse est liée à une fonction conçue pour convertir les barres obliques inverses ('') en barres obliques ('/') afin qu'une archive RAR créée sous Windows puisse être extraite sur un système Unix, modifiant ainsi le lien symbolique susmentionné en "../../../tmp/shell".

En profitant de ce comportement, un attaquant peut écrire des fichiers arbitraires n'importe où sur le système de fichiers cible, y compris créer un shell JSP dans le répertoire web de Zimbra et exécuter des commandes malveillantes.

"La seule exigence pour cette attaque est que UnRAR soit installé sur le serveur, ce qui est attendu car il est nécessaire pour la recherche de virus dans les archives RAR et la vérification du spam ", a noté Scannell.