A Agência Nacional de Segurança Cibernética dos EUA (CISA) incluiu duas novas falhas em seu catálogo de vulnerabilidades que estão sendo ativamente exploradas: uma falha explorada no UnRAR do Linux e a vulnerabilidade chamada DogWalk que afeta o Windows.
Vulnerabilidade no UnRAR
Catalogada como CVE-2022-30333, a falha se trata de uma vulnerabilidade do tipo path traversal na versão do RAR para sistemas Linux e UNIX. Caso seja explorada, a falha pode permitir que um criminoso consiga baixar arquivos arbitrários para o sistema da vítima simplesmente descompactando um arquivo RAR.
A vulnerabilidade, que afeta qualquer versão do Linux e UNIX que use o UnRAR, recebeu uma pontuação de 7,5 na escala de gravidade CVSS e foi divulgada publicamente em junho deste ano.
A equipe de pesquisa da SonarSOurce descobriu a falha e publicou um relatório explicando como a vulnerabilidade pode ser utilizada para atacar a um servidor do Zimbra email e obter acesso ao servidor de e-mails.
No caso específico do Zimbra, como o serviço usa o UnRAR para extrair automaticamente anexos e verificá-los em busca de malware ou spam, um criminoso pode enviar um e-mail com um arquivo RAR anexado e comprometer o dispositivo da vítima sem a necessidade de interagir com o anexo.
Em maio, o Rarlab lançou a versão 6.12 que contém o patch que corrige a falha CVE-2022-30333 em todas as versões do RAR para Linux e UNIX.
Vulnerabilidade DogWalk
Além da falha no UnRAR, a CISA também acrescentou à sua lista de vulnerabilidades ativamente exploradas uma falha no Windows. Mais especificamente, a vulnerabilidade conhecida como DogWalk que se encontra em um componente da ferramenta do Windows MSDT (MicrosoftSupport Diagnostic Tool). Trata-se de uma vulnerabilidade de execução de código remoto (RCE) catalogada como CVE-2022-34713, que permite a um cibercriminoso implantar malwares executáveis na pasta de inicialização do Windows. Embora esta falha tenha sido reportada em 2020, a Microsoft considerou na época que ela não representava um risco de segurança, mas recentemente um pesquisador demonstrou o real alcance dessa vulnerabilidade.
Em seguida, a Microsoft lançou um patch para corrigir a falha na atualização deste mês e confirmou que ela está sendo utilizada por criminosos em campanhas maliciosas.
