Upload Arbitrary Files
Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Resumen
SmarterMail, antes da build 9413, permite que um atacante não autenticado grave arquivos arbitrários em qualquer diretório do servidor de e-mail através de um endpoint de upload vulnerável a path traversal. Como o produto roda sobre IIS/ASP.NET, gravar um arquivo .aspx num diretório web-acessível (App_Data) resulta em execução remota de código sem qualquer credencial — daí o CVSS 10.0, que aqui é justificado e não inflado.
Detalle técnico
A falha é classificada pela CISA como CWE-434 (Unrestricted Upload of File with Dangerous Type), mas a pesquisa da watchTowr Labs descreve o mecanismo real como um path traversal em um endpoint de upload que aceita um identificador (aparentemente um GUID) usado para compor o caminho de destino do arquivo. A build vulnerável não valida corretamente esse parâmetro nem o tipo/extensão do arquivo enviado, permitindo que o atacante controle tanto o nome/caminho final do arquivo quanto seu conteúdo.
O patch introduz validação do identificador: tentativas de exploração contra uma instância corrigida retornam um erro 'INVALID_GUID', evidência direta de que a correção endureceu a checagem desse parâmetro em vez de apenas bloquear extensões.
O impacto crítico vem da combinação dos dois defeitos: traversal de diretório (controle de caminho) + ausência de restrição de tipo de arquivo (controle de conteúdo). Isso permite depositar um webshell ASP.NET (.aspx) diretamente em diretórios servidos pelo IIS, como App_Data dentro da instalação do SmarterMail — em builds 94xx, sob 'Service\App_Data'; em builds da série 16, sob 'MRS\App_Data'. Uma vez lá, basta requisitar o arquivo via HTTP para obter execução de código no contexto do processo do serviço web.
Cómo se explota
O vetor é uma requisição HTTP não autenticada contra o endpoint de upload exposto publicamente pelo SmarterMail — não há necessidade de conta de e-mail, sessão administrativa ou qualquer interação de usuário (AV:N, PR:N, UI:N no vetor CVSS confirma isso). A complexidade é baixa: o atacante manipula o parâmetro de identificação/caminho para escapar do diretório de destino esperado e escreve um arquivo com extensão executável pelo IIS.
A CISA incluiu a CVE no catálogo KEV afirmando exploração confirmada em ambiente real, e existem módulo Metasploit, template Nuclei e PoC pública (incluindo a ferramenta de detecção da watchTowr, que grava um arquivo inofensivo para comprovar a vulnerabilidade sem chegar a RCE). Essa combinação — pré-auth, sem pré-condição de configuração, ferramentas de exploração amplamente disponíveis — torna qualquer instância exposta à internet um alvo trivial de scanners automatizados.
O resultado final da exploração completa é execução remota de código no servidor de e-mail com os privilégios do processo do SmarterMail/IIS, o que em ambiente corporativo tipicamente significa acesso a todas as caixas de correio, credenciais armazenadas e pivô para o restante da rede interna.
Versiones
Cómo protegerse
O fornecedor e a CSA de Singapura recomendam atualizar imediatamente para SmarterMail Build 9413. A watchTowr Labs, em pesquisa independente, também cita a série 16.x até a build 16.3.6989.16341 como vulnerável; as fontes disponíveis não especificam qual build exata da série 16.x corrige a falha além da orientação genérica de atualizar — confirme a versão corrigida na página oficial de release notes do fornecedor antes de considerar o ambiente protegido.
Se a atualização imediata não for viável, não exponha a interface de gerenciamento/upload do SmarterMail diretamente à internet sem controle compensatório: restrinja acesso por IP/VPN, e monitore ou bloqueie no perímetro requisições ao endpoint de upload que contenham sequências de path traversal ('../', '..\') ou parâmetros de identificação malformados. Isso reduz a superfície mas não elimina o risco — é paliativo, não correção.
Não existe mitigação de configuração documentada pelo fornecedor além do patch; desabilitar temporariamente o recurso de upload afetado (se a arquitetura do produto permitir) é a única alternativa real quando a atualização não pode ser aplicada de imediato, mas nenhuma das fontes detalha como fazer isso de forma suportada.
Cómo detectar
A ferramenta de detecção da watchTowr Labs testa a vulnerabilidade tentando gravar um arquivo .aspx nos diretórios App_Data mencionados; em instâncias corrigidas, a resposta contém a mensagem de erro 'INVALID_GUID', o que serve como indicador de que o patch de validação foi aplicado. Em logs do IIS/SmarterMail, procure por requisições POST ao endpoint de upload contendo sequências de traversal ('../', '..\', ou variantes codificadas) nos parâmetros, especialmente parâmetros que deveriam conter apenas um GUID, e por arquivos inesperados com extensão .aspx (ou outras extensões executáveis) criados dentro dos diretórios App_Data do Service ou do MRS.
Como existem módulo Metasploit, template Nuclei e PoC pública, é esperado tráfego de scanners automatizados testando esse endpoint indiscriminadamente na internet — presença desses padrões em logs não implica necessariamente comprometimento bem-sucedido, mas indica tentativa ativa e deve acionar verificação imediata de integridade dos diretórios citados.