CVE-2022-30333
RARLAB UnRAR Directory Traversal Vulnerability
Beschreibung
CVE-2022-30333 ist eine Directory-Traversal-Schwachstelle in RARLAB UnRAR auf Linux- und UNIX-Systemen, die es einem Angreifer ermöglicht, während einer Extraktionsoperation in beliebige Dateien zu schreiben. Durch die Erstellung eines bösartigen RAR-Archivs mit speziell konstruierten Pfadeinträgen kann ein Angreifer das vorgesehene Extraktionsverzeichnis verlassen und Dateien an beliebige Stellen im Dateisystem schreiben. CISA hat CVE-2022-30333 in den Katalog der bekannten ausgenutzten Schwachstellen aufgenommen, und die Schwachstelle wird bekanntermaßen in Ransomware-Kampagnen eingesetzt. Mit einem EPSS-Score von 92,8 % (99,8. Perzentil) hat diese Schwachstelle eine extrem hohe Ausnutzungswahrscheinlichkeit.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:NIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| rarlab | unrar | < 6.12 |
| debian | debian linux | 10.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
Referenzen
- http://packetstormsecurity.com/files/167989/Zimbra-UnRAR-Path-Traversal.html(Exploit, Third Party Advisory, VDB Entry)
- https://blog.sonarsource.com/zimbra-pre-auth-rce-via-unrar-0day/(Exploit, Third Party Advisory)
- https://lists.debian.org/debian-lts-announce/2023/08/msg00022.html(Mailing List, Third Party Advisory)
- https://security.gentoo.org/glsa/202309-04(Third Party Advisory)
- https://www.rarlab.com/rar/rarlinux-x32-612.tar.gz(Patch)
- https://www.rarlab.com/rar_add.htm(Product)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-30333(US Government Resource)
Schwachstellentyp
CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal')
CVE-2022-30333 ist eine Path-Traversal-Schwachstelle im UnRAR-Extraktionswerkzeug, bei der die Software Dateipfade in RAR-Archiven während der Extraktion nicht ordnungsgemäß bereinigt. Die Entpackoperation neutralisiert Directory-Traversal-Sequenzen in Archiveinträgen nicht ausreichend, wodurch ein Angreifer Pfade angeben kann, die das vorgesehene Extraktionsverzeichnis verlassen und Dateien an beliebige Stellen im Dateisystem schreiben.
Mehr erfahren: CWE-22 — Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal')
Auswirkungsanalyse
CVE-2022-30333 ist eine besonders gefährliche Schwachstelle, da sie über jeden Workflow ausgenutzt werden kann, der RAR-Archive auf Linux- oder UNIX-Systemen automatisch oder manuell extrahiert. E-Mail-Gateways, Dateifreigabedienste und automatisierte Verarbeitungspipelines, die RAR-Dateien verarbeiten, sind potenzielle Angriffsvektoren. Eine erfolgreiche Ausnutzung ermöglicht dem Angreifer, beliebige Dateien an jeden vom UnRAR-Prozess beschreibbaren Ort zu schreiben, was durch Web-Shell-Deployment, Konfigurationsdatei-Manipulation oder Crontab-Modifikation zu Remote-Codeausführung führen kann. Die Vertraulichkeit aller im Dateisystem zugänglichen Daten ist gefährdet, die Integrität wird durch beliebige Dateischreibvorgänge kompromittiert, und die Verfügbarkeit kann durch Ransomware oder Systemdateibeschädigung beeinträchtigt werden. Die bestätigte Verwendung in Ransomware-Kampagnen und der EPSS-Score von 92,8 % bestätigen ein extremes reales Ausnutzungsrisiko.
Exploit-Reifegrad
CISA hat die aktive Ausnutzung von CVE-2022-30333 bestätigt, indem die Schwachstelle am 9. August 2022 in den Katalog der bekannten ausgenutzten Schwachstellen aufgenommen wurde, mit einer Behebungsfrist bis zum 30. August 2022. Diese Schwachstelle wird bekanntermaßen in Ransomware-Kampagnen eingesetzt, was die Bedrohungsstufe erheblich erhöht. Der EPSS-Score von 92,8 % (99,8. Perzentil) zeigt nahezu sichere Ausnutzungsaktivität an. Die Schwachstelle wurde insbesondere für Angriffe auf Zimbra-E-Mail-Server verwendet, bei denen ein gestaltetes RAR-Archiv per E-Mail gesendet wurde, um während der automatischen Extraktion eine Web-Shell in das Zimbra-Webverzeichnis zu schreiben.
Behebung
- UnRAR auf Version 6.12 oder höher aktualisieren: RARLAB hat CVE-2022-30333 in UnRAR Version 6.12 behoben, die eine ordnungsgemäße Pfadvalidierung während der Extraktion enthält.
- Alle Systeme mit UnRAR identifizieren: Prüfen Sie Ihre Umgebung auf alle Instanzen von UnRAR, einschließlich solcher, die in andere Anwendungen, E-Mail-Gateways und automatisierte Verarbeitungspipelines eingebettet sind. Achten Sie besonders auf Zimbra-Server.
- Sandboxing für Dateiextraktion implementieren: Konfigurieren Sie automatisierte Archiv-Extraktionsprozesse so, dass sie in Sandbox-Umgebungen mit eingeschränktem Dateisystemzugriff arbeiten.
- RAR-Datei-Scanning an E-Mail-Gateways hinzufügen: Konfigurieren Sie E-Mail-Sicherheits-Gateways zur Überprüfung von RAR-Archivinhalten auf Path-Traversal-Sequenzen vor der Zustellung.
- Unautorisierte Dateierstellung überwachen: Implementieren Sie File-Integrity-Monitoring auf kritischen Verzeichnissen wie Web-Roots, Cron-Verzeichnissen und Systemkonfigurationspfaden.
Technische Details
CVE-2022-30333 ist eine Directory-Traversal-Schwachstelle im RARLAB UnRAR-Werkzeug auf Linux- und UNIX-Systemen. Während der Extraktion von RAR-Archiven verarbeitet UnRAR die in jedem Archiveintrag gespeicherten Dateipfadinformationen, um zu bestimmen, wohin die extrahierten Dateien geschrieben werden. Die Schwachstelle besteht, weil UnRAR diese Pfade nicht ordnungsgemäß bereinigt, um zu verhindern, dass Directory-Traversal-Sequenzen das vorgesehene Extraktionsverzeichnis verlassen. Durch die Erstellung eines RAR-Archivs mit Einträgen, die symbolische Link-Manipulation oder Pfadkomponenten enthalten, die außerhalb des Extraktionsverzeichnisses auflösen, kann ein Angreifer beliebige Dateien an jeden Ort schreiben, der dem UnRAR-Benutzer zugänglich ist. Der Angriff erlangte besondere Aufmerksamkeit bei der Demonstration gegen Zimbra-E-Mail-Server, wo der serverseitige UnRAR-Prozess automatisch E-Mail-Anhänge für das Scanning extrahiert und ein bösartiger RAR-Anhang eine JSP-Web-Shell direkt in das Zimbra-Webanwendungsverzeichnis schreiben konnte.
Häufig gestellte Fragen
Wird CVE-2022-30333 aktiv ausgenutzt?
Ja. CISA hat die aktive Ausnutzung von CVE-2022-30333 bestätigt, und die Schwachstelle wird bekanntermaßen in Ransomware-Kampagnen eingesetzt. Der EPSS-Score von 92,8 % (99,8. Perzentil) zeigt nahezu sichere Ausnutzung an. Die Schwachstelle wurde insbesondere gegen Zimbra-E-Mail-Server über gestaltete RAR-E-Mail-Anhänge eingesetzt.
Welche Produkte sind von CVE-2022-30333 betroffen?
CVE-2022-30333 betrifft RARLAB UnRAR auf Linux- und UNIX-Systemen. Dies umfasst jede Anwendung oder jeden Dienst, der UnRAR für die Archivextraktion verwendet, wie Zimbra-E-Mail-Server, Dateiverarbeitungspipelines und andere Tools, die RAR-Dateien verarbeiten. UnRAR-Versionen vor 6.12 sind verwundbar.
Wie behebe ich CVE-2022-30333?
Aktualisieren Sie UnRAR auf Version 6.12 oder höher. Prüfen Sie Ihre Umgebung auf alle Instanzen von UnRAR, einschließlich solcher, die in andere Anwendungen und E-Mail-Gateways eingebettet sind. Auf Zimbra-Servern stellen Sie sicher, dass das System-UnRAR-Paket aktualisiert ist.
Wie schwerwiegend ist CVE-2022-30333?
CVE-2022-30333 ist eine äußerst schwerwiegende Schwachstelle mit einem EPSS-Score von 92,8 % (99,8. Perzentil) und bestätigter Verwendung in Ransomware-Kampagnen. Die Directory-Traversal kann zu beliebigen Dateischreibvorgängen und Remote-Codeausführung führen, insbesondere auf E-Mail-Servern, auf denen RAR-Archive automatisch verarbeitet werden.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.