febinrev/atril_cbt-inject-exploitCVE-2023-44452، CVE-2023-51698: حقن وسيطات في تحليل ملفات CBT أثر على توزيعات لينكس الشائعة
ثغرة حرجة بنقرة واحدة لتنفيذ الأوامر/حقن الأوامر تؤثر على أنظمة تشغيل لينكس الشائعة التي تعمل ببيئات سطح المكتب MATE وCinnamon وبعض بيئات Xfce.
أنظمة التشغيل المتأثرة:
Linux Mint Kali Linux (نظام تشغيل شائع بين المتخصصين في الأمن والباحثين) Parrot OS (نظام تشغيل شائع بين المتخصصين في الأمن والباحثين) Ubuntu-Mate Xubuntu Fedora Cinnamon Fedora Mate Manjaro Mate Manjaro Cinnamon Ubuntu Kylin (أوبونتو الصينية الرسمية) Kylin OS V10 (نظام تشغيل يُقال إنه يُستخدم في القطاعات الحكومية الصينية)
وبيئات سطح مكتب أخرى تعمل بـ MATE وCinnamon وبعض بيئات Xfce.
المكوّن البرمجي المتأثر: جميع الإصدارات بما في ذلك أحدث إصدارات Atril Document Viewer (عارض المستندات الافتراضي لبيئة MATE، وهو أحد عارضي المستندات الشائعة) وXreader Document Viewer (عارض المستندات الافتراضي في Linux Mint)
ملخص الثغرة:
تسمح هذه الثغرة للمهاجمين عن بُعد بتنفيذ أكواد عشوائية على التثبيتات المتأثرة من Linux Mint Xreader. يتطلب استغلال هذه الثغرة تفاعل المستخدم، حيث يجب على الهدف زيارة صفحة خبيثة أو فتح ملف خبيث.
الخلل المحدد يكمن في تحليل ملفات CBT. المشكلة ناتجة عن عدم التحقق السليم من سلسلة نصية يقدمها المستخدم قبل استخدامها لتنفيذ استدعاء نظام. يمكن للمهاجم استغلال هذه الثغرة لتنفيذ كود في سياق المستخدم الحالي.
تعود هذه الثغرة إلى جزء كود سيئ في Atril وXreader مسؤول عن معالجة مستندات الكتب المصورة (.cbr، .cbz، .cbt، .cb7). مستندات الكتب المصورة هي مجرد أرشيفات تحتوي على صور بداخلها. يمكن استغلال الثغرة هنا باستخدام مستند CBT مُصمم بشكل خبيث وهو عبارة عن أرشيف TAR.
السبب الجذري - جزء الكود المعرض للخطر في كلا عارضي المستندات (comics-document.c):
static const ComicBookDecompressCommand command_usage_def[] = {
/* RARLABS unrar */
{"%s p -c- -ierr --", "%s vb -c- -- %s", NULL , FALSE, NO_OFFSET},
/* GNA! unrar */
{NULL , "%s t %s" , "%s -xf %s %s" , FALSE, NO_OFFSET},
/* unzip */
{"%s -p -C --" , "%s %s" , NULL , TRUE , OFFSET_ZIP},
/* 7zip */
{NULL , "%s l -- %s" , "%s x -y %s -o%s", FALSE, OFFSET_7Z},
/* tar */
{"%s -xOf" , "%s -tf %s" , NULL , FALSE, NO_OFFSET},
/* UNARCHIVER */
{"unar -o -" , "%s %s" , NULL , FALSE, NO_OFFSET}
};
بالنظر إلى الكود أعلاه، يمكننا أن نرى أن هناك أوامر شل تُستخدم لفك الضغط. انظر إلى قسم /* tar */، فهو يستدعي في الواقع أمر الشل التالي: "tar -xOf -tf ". هذا لعرض/تحميل كل صورة داخل مستند CBT. يمكن استغلال هذا السلوك باستخدام خيار من برنامج tar وهو '--checkpoint-action' لتنفيذ أوامر عشوائية على الهدف عن طريق تسمية إحدى الصور داخل مستند CBT بشيء مثل '--checkpoint-action=EXEC=bash -c "whoami>/tmp/who.txt";.jpg'.
تم اكتشاف هذه الثغرة بالفعل في عارض المستندات Evince (عارض المستندات الافتراضي لـ GNOME) في عام 2017. وبما أن Atril وXreader هما فرعان من Evince، فقد كانت هذه الثغرة موجودة في كل من Atril وXreader. قام فريق Atril بإصلاح الثغرة في ذلك الوقت بإضافة جزء من الكود ينهي عملية Atril إذا كان ملف CBT يحتوي على "--checkpoint-action=" في اسمه. كان التصحيح التالي (comics-document.c) (السطر - 983):
extract_argv (EvDocument *document, gint page)
{
ComicsDocument *comics_document = COMICS_DOCUMENT (document);
char **argv;
char *command_line, *quoted_archive, *quoted_filename;
GError *err = NULL;
if (g_strrstr (comics_document->page_names->pdata[page], "--checkpoint-action="))
{
g_warning ("File unsupported\n");
gtk_main_quit ();
}
كما ترى، فإنه يلقي رسالة "File Unsupported" إلى وحدة التحكم ويخرج عند رؤية "--checkpoint-action=" في صفحة/اسم ملف. لاحظت أن هذا يعمل فقط مع ملف فارغ أو ملف صورة صغير جدًا، وإذا قدمنا ملفًا أكبر بمزيد من البايتات، فإن دالة "gtk_main_quit ();" تفشل، لذا يستمر في العمل، وبالتالي ينفذ الأمر العشوائي المحقون.
في بيئة سطح المكتب MATE، والعديد من بيئات سطح المكتب XFCE والخفيفة (بما في ذلك أنظمة تشغيل مثل Kali وParrot وXubuntu وUbuntu Mate وKylin وFedora Mate وManjaro Mate)، يمكن استغلال هذه الثغرة فقط بإرسال رابط/URL لأن هذه الأنظمة/البيئات تحتوي على Atril وAtril يحتوي على مكوّن إضافي يسمى atril-previewer الذي سيطلق الاستغلال دون حتى فتح أو النقر على المستند. يمكن للمهاجم إنشاء صفحة ويب تقوم بتنزيل ملف CBT المُصمم خبيثًا على النظام الهدف فورًا عندما يزور المستخدم الهدف صفحة الويب، ومتصفح Firefox الأحدث هذه الأيام يقوم بالتنزيل تلقائيًا افتراضيًا دون تأكيد المستخدم، وعندما ينتقل المستخدم إلى دليل التنزيلات الخاص به سيتم تنفيذ الحمولة، مما يمنح المهاجم شل.
في Linux Mint (بيئة سطح المكتب Cinnamon)، يجب على المستخدم الهدف فتح المستند لتفعيل الحمولة لأن Linux Mint يستخدم Xreader وXreader لا يحتوي على معاين.
لقد أرفقت استغلالًا يعمل بالكامل مع فيديو تجريبي في أرشيف مضغوط (doctTar-inject_exploit.zip) مع هذا التقديم.
في الفيديو التجريبي، السيناريو التالي: جهاز المهاجم - Kali Linux جهاز الضحية - أحدث إصدار من Kali Linux (2023.3) الضحية يزور الرابط/الرابط الخبيث الذي يولده سكربت الاستغلال الخاص بي
تبعيات الاستغلال: poppler-utils يرجى تثبيت poppler-utils قبل تشغيل سكربت الاستغلال على جهاز لينكس الخاص بك (يُفضل Kali). التثبيت: apt install poppler-utils.