idNSA.id - Peneliti
SonarSource telah menemukan kerentanan baru dalam utilitas UnRAR RARlab,
dilacak sebagai CVE-2022-30333, yang dapat dimanfaatkan oleh penyerang jarak
jauh untuk mengeksekusi kode arbitrer pada sistem yang mengandalkan biner,
seperti server webmail Zimbra.
Zimbra adalah email siap pakai untuk perusahaan yang
digunakan oleh lebih dari 200.000 bisnis, pemerintah, dan lembaga keuangan.
“Kami menemukan kerentanan zero day di utilitas unrar, alat
pihak ketiga yang digunakan di Zimbra. Kerentanan pada akhirnya memungkinkan
penyerang jarak jauh untuk mengeksekusi kode arbitrer pada instance Zimbra yang
rentan tanpa memerlukan otentikasi atau pengetahuan sebelumnya tentang hal
itu.” membaca posting yang diterbitkan oleh peneliti SonarSource.“
“Seorang penyerang dapat membuat file di luar direktori
ekstraksi target ketika aplikasi atau pengguna korban mengekstrak arsip yang
tidak tepercaya. Jika mereka dapat menulis ke lokasi yang diketahui, mereka
cenderung dapat memanfaatkannya dengan cara yang mengarah pada eksekusi
perintah arbitrer pada sistem.”
Cacat CVE-2022-30333 dalam biner unrar yang dikembangkan
oleh RarLab adalah kerentanan File Write
yang dapat dieksploitasi dengan menipu korban agar mengekstrak arsip RAR yang
dibuat.
Para ahli menunjukkan bahwa Dalam kasus Zimbra, pelaku dapat
mengeksploitasi masalah ini untuk mengakses setiap email yang dikirim dan
diterima di server email yang disusupi. Penyerang dapat sepenuhnya mengkompromikan
server dan memasang backdoor dan menggunakan mesin yang disusupi sebagai poros
untuk menargetkan sistem lain di dalam organisasi.
"Satu-satunya persyaratan untuk serangan ini adalah
bahwa unrar diinstal di server, yang diharapkan seperti yang diperlukan untuk
pemindaian virus dan pemeriksaan spam arsip RAR." Lanjutan dari laporan.
Di bawah ini adalah alur waktu untuk temuan ini:
Masalah ini berasal dari serangan tautan simbolik, pelaku dapat
membuat arsip RAR yang berisi symlink yang berisi garis miring terbalik dan
garis miring terbalik (misalnya, “..\..\..\tmp/shell”) untuk melewati
pemeriksaan saat ini dan mengekstraknya di luar dari direktori ekstraksi
target.
Cacatnya terletak pada fungsi yang mengubah garis miring
terbalik ('\') untuk meneruskan garis miring ('/') ke arsip RAR yang dibuat
pada Windows untuk diekstraksi pada sistem Unix.
Penyerang dapat mengeksploitasi kelemahan ini untuk menulis
file arbitrer di mana saja pada sistem file target, termasuk menulis shell JSP
ke shell direktori web di direktori web Zimbra.
