Path-Traversal-Schwachstelle in NitroShare

Beschreibung

NitroShare Desktop v0.3.4 enthält eine Path-Traversal-Schwachstelle in seinem LAN-Dateiübertragungsserver. Der Server lauscht auf allen Netzwerkschnittstellen (Port 40818) ohne Authentifizierung. Beim Empfang von Dateien wird das Feld name aus dem JSON-Item-Header des Absenders übergeben, ohne zu überprüfen, ob der aufgelöste Pfad innerhalb des Übertragungsstammverzeichnisses C:\UserName\Downloads\NitroShare bleibt. Ein Angreifer im selben LAN kann eine manipulierte Dateinamen-Zeichenkette mit ../-Sequenzen (klassischer Dot-Dot-Slash-Angriff) senden, um Dateien überall dort zu schreiben, wo der aktuelle Benutzer Zugriff hat, einschließlich des Windows-Autostart-Ordners für die Codeausführung beim nächsten Login (daher der erstellte PoC). Es ist keine Benutzerinteraktion erforderlich. Zusätzlich ist TLS standardmäßig deaktiviert (die Authentifizierungsmethode, die die Anwendung anbietet), was bedeutet, dass standardmäßig keine Authentifizierung erforderlich ist – was ich aufgrund jahrelanger Arbeit in IT und Informationssicherheit annehme, dass die meisten Benutzer so vorgehen.

Schritte zur Reproduktion

1. Verbinde dich vom LAN aus mit dem Übertragungsserver von NitroShare auf TCP-Port 40818.
2. Sende ein JSON-Übertragungsheader-Paket: {"name":"attacker","size":"<n>","count":"1"}.
3. Sende ein JSON-Item-Header-Paket mit einem Path-Traversal-Dateinamen:
   root@kitploit:~

   {"name":"../../AppData/Roaming/Microsoft/Windows/Start Menu/Programs/Startup/payload.exe","directory":false,"created":"0","last_modified":"0","last_read":"0","size":"<n>"}