febinrev/atril_cbt-inject-exploitCVE-2023-44452, CVE-2023-51698: Argument-Injection beim Parsen von CBT-Dateien, die beliebte Linux-Distributionen betraf
Eine kritische One-Click-RCE/Command-Injection-Schwachstelle, die gängige Linux-Betriebssysteme mit MATE-, Cinnamon- und einigen Xfce-Desktop-Umgebungen betrifft.
Betroffene Betriebssysteme:
Linux Mint Kali Linux (beliebtes OS unter Sicherheitsexperten und Forschern) Parrot OS (beliebtes OS unter Sicherheitsexperten und Forschern) Ubuntu-Mate Xubuntu Fedora Cinnamon Fedora Mate Manjaro Mate Manjaro Cinnamon Ubuntu Kylin (offizielles chinesisches Ubuntu) Kylin OS V10 (OS, das angeblich in chinesischen Regierungssektoren verwendet wird)
Und andere MATE-, Cinnamon- und einige Xfce-Desktop-Umgebungen.
Betroffene Softwarekomponente: Alle Versionen einschließlich der neuesten Versionen von Atril Document Viewer (Standard-Dokumentenleser für die MATE-Umgebung, einer der beliebtesten Dokumentenleser) und Xreader Document Viewer (Standard-Dokumentenleser in Linux Mint)
Zusammenfassung der Schwachstelle:
Diese Schwachstelle ermöglicht es entfernten Angreifern, beliebigen Code auf betroffenen Installationen von Linux Mint Xreader auszuführen. Für die Ausnutzung dieser Schwachstelle ist eine Benutzerinteraktion erforderlich, da das Ziel eine bösartige Seite besuchen oder eine bösartige Datei öffnen muss.
Der spezifische Fehler liegt in der Verarbeitung von CBT-Dateien. Das Problem resultiert aus dem Fehlen einer ordnungsgemäßen Validierung einer vom Benutzer bereitgestellten Zeichenkette, bevor diese zur Ausführung eines Systemaufrufs verwendet wird. Ein Angreifer kann diese Schwachstelle ausnutzen, um Code im Kontext des aktuellen Benutzers auszuführen.
Diese Schwachstelle ist auf ein fehlerhaftes Codesegment in Atril und Xreader zurückzuführen, das für die Verarbeitung von Comic-Dokumenten (.cbr, .cbz, .cbt, .cb7) verantwortlich ist. Comic-Dokumente sind lediglich Archive, die Bilder enthalten. Die Schwachstelle kann hier durch ein bösartig erstelltes CBT-Dokument ausgenutzt werden, das ein TAR-Archiv ist.
Grundursache – Verwundbares Codesegment in beiden Dokumentenlesern (comics-document.c):
static const ComicBookDecompressCommand command_usage_def[] = {
/* RARLABS unrar */
{"%s p -c- -ierr --", "%s vb -c- -- %s", NULL , FALSE, NO_OFFSET},
/* GNA! unrar */
{NULL , "%s t %s" , "%s -xf %s %s" , FALSE, NO_OFFSET},
/* unzip */
{"%s -p -C --" , "%s %s" , NULL , TRUE , OFFSET_ZIP},
/* 7zip */
{NULL , "%s l -- %s" , "%s x -y %s -o%s", FALSE, OFFSET_7Z},
/* tar */
{"%s -xOf" , "%s -tf %s" , NULL , FALSE, NO_OFFSET},
/* UNARCHIVER */
{"unar -o -" , "%s %s" , NULL , FALSE, NO_OFFSET}
};
Wenn wir uns den obigen Code ansehen, können wir erkennen, dass Shell-Befehle zur Dekomprimierung verwendet werden. Betrachten wir den Abschnitt /* tar */, so ruft dieser tatsächlich den folgenden Shell-Befehl auf: "tar -xOf -tf ". Dies dient dazu, jedes Bild im CBT-Dokument anzuzeigen/zu laden. Dieses Verhalten kann ausgenutzt werden, indem eine Option des tar-Programms '--checkpoint-action' verwendet wird, um beliebige Befehle auf dem Ziel auszuführen, indem eines der Bilder im CBT-Dokument mit etwas wie '--checkpoint-action=EXEC=bash -c "whoami>/tmp/who.txt";.jpg' benannt wird.
Diese Schwachstelle wurde bereits 2017 im Evince Document Viewer (dem Standard-Dokumentenleser von GNOME) gefunden. Da Atril und Xreader Forks von Evince sind, war diese Schwachstelle sowohl in Atril als auch in Xreader vorhanden. Das Atril-Team behob die Schwachstelle damals, indem es ein Codesegment hinzufügte, das den Atril-Prozess beendet, wenn eine CBT-Datei mit "--checkpoint-action=" im Namen vorhanden ist. Der folgende Patch war (comics-document.c) (Zeile - 983):
extract_argv (EvDocument *document, gint page)
{
ComicsDocument *comics_document = COMICS_DOCUMENT (document);
char **argv;
char *command_line, *quoted_archive, *quoted_filename;
GError *err = NULL;
if (g_strrstr (comics_document->page_names->pdata[page], "--checkpoint-action="))
{
g_warning ("File unsupported\n");
gtk_main_quit ();
}
Wie Sie sehen können, wird eine "File Unsupported"-Meldung an die Konsole ausgegeben und der Prozess beendet, wenn "--checkpoint-action=" in einer Seite/einem Dateinamen erkannt wird. Mir ist aufgefallen, dass dies nur mit einer leeren Datei oder einer wirklich kleinen Bilddatei funktioniert. Wenn wir eine größere Datei mit mehr Bytes bereitstellen, schlägt die Funktion "gtk_main_quit ();" fehl, sodass der Prozess weiterläuft und dadurch der injizierte beliebige Befehl ausgeführt wird.
In der MATE-Desktop-Umgebung, vielen XFCE- und leichtgewichtigen Desktop-Umgebungen (einschließlich Betriebssystemen wie Kali, Parrot, Xubuntu, Ubuntu Mate, Kylin, Fedora Mate, Manjaro Mate), kann diese Schwachstelle allein durch das Senden eines Links/einer URL ausgenutzt werden, da diese Betriebssysteme/Umgebungen Atril verwenden und Atril eine zusätzliche Komponente namens atril-previewer enthält, die den Exploit auslöst, ohne dass das Dokument geöffnet oder angeklickt werden muss. Ein Angreifer kann eine Webseite erstellen, die die erstellte CBT-Datei sofort auf das Zielsystem herunterlädt, wenn der Zielbenutzer die Webseite besucht. Der heutige Firefox-Browser lädt standardmäßig automatisch ohne Benutzerbestätigung herunter. Wenn der Benutzer sein Download-Verzeichnis aufruft, wird die Payload ausgeführt und gibt dem Angreifer die Shell.
In Linux Mint (Cinnamon-Desktop-Umgebung) muss der Zielbenutzer das Dokument öffnen, um die Payload auszulösen, da Linux Mint Xreader verwendet und Xreader keinen Previewer hat.
Ich habe einen voll funktionsfähigen Exploit zusammen mit einem Demo-Video in einem ZIP-Archiv (doctTar-inject_exploit.zip) mit dieser Einreichung beigefügt.
Im Demo-Video ist das folgende Szenario dargestellt: Angreifer-Maschine – Kali Linux Opfer-Maschine – Kali Linux neueste Edition (2023.3) Das Opfer besucht die bösartige URL/den bösartigen Link, die/der von meinem Exploit-Skript generiert wurde
Exploit-Abhängigkeiten: poppler-utils Bitte installieren Sie poppler-utils, bevor Sie das Exploit-Skript auf Ihrem Linux-Rechner (Kali bevorzugt) ausführen. Installation: apt install poppler-utils.