febinrev/atril_cbt-inject-exploitCVE-2023-44452, CVE-2023-51698: Inyección de argumentos en el análisis de archivos CBT que afectó a distribuciones populares de Linux
Una vulnerabilidad crítica de RCE/Inyección de Comandos con un solo clic que afecta a sistemas operativos Linux populares con entornos de escritorio MATE, Cinnamon y algunos Xfce.
Sistemas Operativos Afectados:
Linux Mint Kali Linux (SO popular entre profesionales de seguridad e investigadores) Parrot OS (SO popular entre profesionales de seguridad e investigadores) Ubuntu-Mate Xubuntu Fedora Cinnamon Fedora Mate Manjaro Mate Manjaro Cinnamon Ubuntu Kylin (Ubuntu chino oficial) Kylin OS V10 (SO que se dice es utilizado en los sectores gubernamentales chinos)
Y otros entornos de escritorio MATE, Cinnamon y algunos Xfce.
Componente de Software Afectado: Todas las versiones, incluidas las más recientes, de Atril Document Viewer (visor de documentos predeterminado para el entorno MATE, uno de los visores de documentos más populares) y Xreader Document Viewer (visor de documentos predeterminado en Linux Mint)
Resumen de la Vulnerabilidad:
Esta vulnerabilidad permite a atacantes remotos ejecutar código arbitrario en instalaciones afectadas de Linux Mint Xreader. Se requiere interacción del usuario para explotar esta vulnerabilidad, ya que el objetivo debe visitar una página maliciosa o abrir un archivo malicioso.
La falla específica existe en el análisis de archivos CBT. El problema resulta de la falta de validación adecuada de una cadena proporcionada por el usuario antes de usarla para ejecutar una llamada al sistema. Un atacante puede aprovechar esta vulnerabilidad para ejecutar código en el contexto del usuario actual.
Esta vulnerabilidad se debe a un segmento de código defectuoso en Atril y Xreader responsable de manejar documentos de cómics (.cbr, .cbz, .cbt, .cb7). Los documentos de cómics son solo archivos comprimidos que contienen imágenes. La vulnerabilidad aquí puede explotarse utilizando un documento CBT manipulado maliciosamente que es un archivo TAR.
Causa Raíz - Segmento de código vulnerable en ambos visores de documentos (comics-document.c):
static const ComicBookDecompressCommand command_usage_def[] = {
/* RARLABS unrar */
{"%s p -c- -ierr --", "%s vb -c- -- %s", NULL , FALSE, NO_OFFSET},
/* GNA! unrar */
{NULL , "%s t %s" , "%s -xf %s %s" , FALSE, NO_OFFSET},
/* unzip */
{"%s -p -C --" , "%s %s" , NULL , TRUE , OFFSET_ZIP},
/* 7zip */
{NULL , "%s l -- %s" , "%s x -y %s -o%s", FALSE, OFFSET_7Z},
/* tar */
{"%s -xOf" , "%s -tf %s" , NULL , FALSE, NO_OFFSET},
/* UNARCHIVER */
{"unar -o -" , "%s %s" , NULL , FALSE, NO_OFFSET}
};
Al observar el código anterior, podemos ver que hay comandos de shell utilizados para la descompresión. Observe la sección /* tar */, que en realidad llama al siguiente comando de shell: "tar -xOf <nombre_de_archivo> -tf ". Esto se utiliza para ver/cargar cada imagen dentro del documento CBT. Este comportamiento puede explotarse utilizando una opción del programa tar '--checkpoint-action' para ejecutar comandos arbitrarios en el objetivo nombrando una de las imágenes dentro del documento CBT con algo como '--checkpoint-action=EXEC=bash -c "whoami>/tmp/who.txt";.jpg'.
Esta vulnerabilidad ya fue encontrada en el visor de documentos Evince (el lector de documentos predeterminado de GNOME) en 2017. Dado que Atril y Xreader son bifurcaciones de Evince, esta vulnerabilidad estaba presente tanto en Atril como en Xreader. El equipo de Atril corrigió la vulnerabilidad en ese momento agregando un fragmento de código que finaliza el proceso de Atril si el archivo CBT contiene "--checkpoint-action=" en su nombre. El siguiente fue el parche (comics-document.c) (línea - 983):
extract_argv (EvDocument *document, gint page)
{
ComicsDocument *comics_document = COMICS_DOCUMENT (document);
char **argv;
char *command_line, *quoted_archive, *quoted_filename;
GError *err = NULL;
if (g_strrstr (comics_document->page_names->pdata[page], "--checkpoint-action="))
{
g_warning ("File unsupported\n");
gtk_main_quit ();
}
Como puede ver, muestra un mensaje "File Unsupported" en la consola y finaliza cuando ve "--checkpoint-action=" en una página/nombre de archivo. Noté que esto solo funciona con un archivo vacío o un archivo de imagen realmente pequeño, y si proporcionamos un archivo más grande con más bytes, la función "gtk_main_quit ();" falla, por lo que continúa ejecutándose, ejecutando así el comando arbitrario inyectado.
En el entorno de escritorio MATE, muchos entornos de escritorio XFCE y ligeros (incluidos SO como Kali, Parrot, Xubuntu, Ubuntu Mate, Kylin, Fedora Mate, Manjaro Mate), esta vulnerabilidad puede explotarse simplemente enviando un enlace/URL porque estos Sistemas Operativos/Entornos tienen Atril y Atril tiene un componente adicional llamado atril-previewer que activará el exploit sin siquiera abrir o hacer clic en el documento. Un atacante puede crear una página web que descargue instantáneamente el archivo CBT manipulado en el sistema objetivo cuando el usuario objetivo visita la página web, y el navegador Firefox más reciente hoy en día descarga automáticamente por defecto sin confirmación del usuario; cuando el usuario navega a su directorio de Descargas, el payload se ejecutará, otorgando al atacante la shell.
En Linux Mint (Entorno de Escritorio Cinnamon), el usuario objetivo debe abrir el documento para activar el payload porque Linux Mint usa Xreader y Xreader no tiene un visor previo.
He adjuntado un exploit completamente funcional junto con un video de demostración en un archivo zip (doctTar-inject_exploit.zip) con esta presentación.
En el video de demostración, el escenario es el siguiente: Máquina del Atacante - Kali Linux Máquina de la Víctima - Kali Linux última edición (2023.3) La víctima visita la URL/Enlace malicioso generado por mi script de exploit
Dependencias del Exploit: poppler-utils Instale poppler-utils antes de ejecutar el script de exploit en su máquina Linux (se prefiere Kali). Instalación: apt install poppler-utils.