🤝 Zeige deine Unterstützung – gib ein ⭐️, wenn dir der Inhalt gefallen hat | TEILE auf Twitter | Folge mir auf

CVE-2022-0337 Leck von Systemumgebungsvariablen in Google Chrome, Microsoft Edge und Opera

📝 Beschreibung

Die erfolgreiche Ausnutzung dieser Schwachstelle kann zum Leck von Geheimnissen des Benutzers führen, die in Systemumgebungsvariablen gespeichert sind. Ein Sicherheitsfehler wurde in der Chromium-Version 92 gefunden und in Version 97 behoben. Es gibt mehrere Webbrowser, die auf der Chromium-Engine basieren, z. B. Google Chrome, Microsoft Edge, Opera und Brave. Alle waren verwundbar, mit Ausnahme von Brave. Die Schwachstelle liegt in der File System Access API, genauer gesagt in der Methode window.showSaveFilePicker().

CVE-Version: CVE-2022-0337

Credits: Maciej Pulikowski

Belohnung: 10.000 $ vom Google VRP

Verwundbare Webbrowser-Versionen:

Überprüfe deine Webbrowser-Version:

• Google Chrome: chrome://version/
• Microsoft Edge: edge://version/
• Opera: opera://update

Betriebssysteme:

NUR WINDOWS ist verwundbar. Linux und Mac sind sicher.

📺 Youtube Proof of Concept

https://www.youtube.com/watch?v=q7OIEWtalg8

Danke für die Daumen hoch und Abos 😀👍

👨‍💻 Code Proof of Concept

Das einfachste Beispiel

1. Schreibe in deine Devtools:

let a = await window.showSaveFilePicker({suggestedName:'%username%'});
a.name;

2. Speichere die Datei
3. Dein Benutzername sollte erscheinen

In dem Beispiel wird die Umgebungsvariable %username% verwendet. Sie gibt den angemeldeten Windows-Benutzernamen zurück. Darüber hinaus gibt es viel interessantere Umgebungsvariablen:

Hier sind einige Beispiele:

• AWS_SECRET_ACCESS_KEY
• AZURE_CLIENT_SECRET
• binance_secret
• GITHUB_TOKEN
• GOOGLE_API_KEY

und viele mehr...

Der Angreifer könnte also Zugriff auf die AWS-Dienste des Ziels, das Github-Konto oder den Binance-Token für die API (Geld abheben) und mehr erhalten...

Schau dir weitere Geheimnisse in Umgebungsvariablen in meinem Repository an:

🦄🔒 Geniale Liste von Geheimnissen in Umgebungsvariablen 🖥️

Erstelltes HTML mit Verbesserungen

Das vorherige Beispiel wird in den lokalen Google Chrome Devtools ausgeführt.

Natürlich könnte der Angreifer eine spezielle HTML-Datei (Website) erstellen, um diese Schwachstelle erfolgreich auszunutzen.

env.html - ist ein Beispiel für speziell erstelltes HTML in diesem Repository.

Aber muss der Benutzer wirklich eine Datei herunterladen?

Ja, allerdings kann der Angreifer eine Website erstellen, die den Benutzer dazu verleitet, die ENTER-Taste auf der Tastatur für 2 Sekunden zu halten, um den Dialog zum Speichern der Datei auszuführen und zu akzeptieren. Da der Windows-Dialog standardmäßig die Schaltfläche „Speichern“ fokussiert, wird die Datei mit einem bloßen Blinzeln gespeichert.

*.gif stammt von Opera (Chrome und Edge waren bereits behoben)

Zusammenfassend kann das Halten der ENTER-Taste auf der Tastatur für 2 Sekunden dazu führen, dass die Systemumgebungsvariablen des Benutzers durchsickern. Dies ist ein erhebliches Problem, da der Benutzer wichtige Geheimnisse in Systemumgebungsvariablen speichern könnte, z. B. den Zugang zu seinen AWS-Diensten, seinem GitHub-Konto oder Binance

🧠 Wichtige Punkte aus dem Write-up:

• Umgebungsvariablen können Geheimnisse speichern, z. B. Tokens, API-Schlüssel, Geheimnisse
• wenn die Payload "%USERNAME%" oder "$:USERNAME" oder "${USERNAME}" oder "$USER" den echten Benutzernamen zurückgibt, dann ist das Ziel verwundbar

🔨 Fehlerbehebung in Chromium

Ich habe mir die Herausforderung gestellt, den Fehler zu beheben. Hier möchte ich betonen, dass ich kein C++-Entwickler bin 😎.

Quelle: https://bugs.chromium.org/p/chromium/issues/detail?id=1247389#c9

Eine Lösung bestand darin, einfach das Zeichen % in suggestedName durch _ zu ersetzen. Das sollte das Problem lösen.

Meine Lösung:

könnte eingefügt werden in:

https://source.chromium.org/chromium/chromium/src/+/main:content/browser/file_system_access/file_system_chooser.cc;l=238?q=ResolveSuggestedNameExtension&ss=chromium%2Fchromium%2Fsrc

und die Ergebnisse sind:

Vor der Korrektur:

Nach meiner Korrektur:

Tatsächlich hat es das Problem gelöst, aber es war nicht der beste Ort, um den Code einzufügen 😋. Ich war jedoch sehr glücklich, es selbst reparieren zu können 😎.

Die endgültige Lösung findest du hier:

https://bugs.chromium.org/p/chromium/issues/detail?id=1247389#c12

🌌 Zeitleiste

• [07.09.2021, 10:40 PM GMT+2] Fehler von Maciej Pulikowski gemeldet
• [07.09.2021, 11:36 PM GMT+2] Fehler akzeptiert (Priorität:1, Schweregrad-Hoch)
• [08.11.2021, 1:30 AM GMT+1] Meine Einreichung für eine mögliche Korrektur im Chromium-Quellcode
• [10.12.2021, 6:09 PM GMT+1] Behoben
• [7.01.2022, 2:09 AM GMT+1] Belohnung von 10.000 $
• [18.03.2022, 6:30 PM GMT+1] Google entfernte die Einschränkungen der Sicherheitsansicht

💻 Nützliche Links

• Issue 1247389: Sicherheit: Möglichkeit, die Systemumgebungsvariablen des Benutzers wie Geheimnisse, Tokens oder Schlüssel zu sehen
• 🦄🔒 Geniale Liste von Geheimnissen in Umgebungsvariablen 🖥️
• Die File System Access API: Vereinfachung des Zugriffs auf lokale Dateien
• File System Access - Dokumentation
• File System Access Web API - Chromium-Sicherheitsmodell

🤝 Zeige deine Unterstützung

🤝 Zeige deine Unterstützung – gib ein ⭐️, wenn dir der Inhalt gefallen hat | TEILE auf Twitter | Folge mir auf

✔️ Haftungsausschluss

Dieses Projekt darf nur zu Bildungszwecken verwendet werden. Die Verwendung dieser Software gegen Zielsysteme ohne vorherige Genehmigung ist illegal, und für Schäden, die durch Missbrauch dieser Software entstehen, übernimmt der Autor keine Verantwortung.