📝 Descripción

Google Chrome - API de acceso al sistema de archivos - vulnerabilidades reportadas por Maciej Pulikowski

Recompensa total del programa Bug Bounty: $5.000

Esto es una prueba de concepto para:

• [Google Security_Severity] CVE
• [ALTA] CVE-2021-21123
• [MEDIA] CVE-2021-21129
• [MEDIA] CVE-2021-21130
• [MEDIA] CVE-2021-21131
• [MEDIA] CVE-2021-21172
• [BAJA] CVE-2021-21141

El principal problema de seguridad aquí es que el diálogo del sistema operativo "Guardar como" lanzado por Google Chrome muestra al usuario la extensión de archivo incorrecta del archivo descargado. Muestra "Guardar como tipo: JPEG (.jpg)" pero descarga virus.jpg.lnk que puede descargar y ejecutar virus.exe mediante PowerShell.

Así que es una especie de suplantación de la extensión del archivo descargado.

Los fallos funcionan en Google Chrome 86 y 87 en Windows, Mac y Linux. Por supuesto, LNK solo funciona en Windows, pero podemos cambiarlo a una extensión diferente en Linux o Mac.

Publicaciones del blog de Google:

• https://chromereleases.googleblog.com/2021/01/stable-channel-update-for-desktop_19.html
• https://chromereleases.googleblog.com/2021/03/stable-channel-update-for-desktop.html

Los fallos mencionados son "Reportados por Maciej Pulikowski"

📺 Prueba de concepto en YouTube

https://www.youtube.com/watch?v=l9swTtaRDNs

Gracias por el pulgar arriba 😀👍

👨‍💻 Código PoC

Requisitos: Nada, solo necesitas ejecutar un archivo HTML en una versión anterior de Google Chrome 86 o 87. Si quieres probarlo con un archivo .lnk, tienes que crear el archivo FUD "lnkextra.lnk", porque no está incluido.

• example_showSaveFilePicker.html (Los fallos funcionan en Google Chrome 86 y 87. Están parcheados en 88+)

  CVE-2021-21123, CVE-2021-21129, CVE-2021-21130, CVE-2021-21131, CVE-2021-21141

  Campo de pruebas de mis ejemplos para showSaveFilePicker():

  • Guardar archivo LNK y mostrar "Guardar como tipo: Imagen JPEG (*.jpg)"
  • Muchos espacios en blanco y extensiones falsas en la descripción
  • RTL en la descripción
  • Descripción súper larga
  • Muchos espacios en la extensión
  • RTL en la extensión
  • La extensión termina con un espacio
  • La extensión termina con un punto
  • Guardar archivo LNK de una manera diferente
  • EXTRA - Como todo ocurre en JS, podemos comprobar si el navegador del usuario es vulnerable

• example_getFileHandle.html (El fallo funciona en Google Chrome 86, 87 y 88. Está parcheado en 89+)

  CVE-2021-21172 - getFileHandle() - Guardar archivo .lnk en la carpeta seleccionada

💻 Enlaces útiles

• La API de File System Access: simplificando el acceso a los archivos locales
• File System Access - Documentación
• File System Access Web API - Modelo de seguridad de Chromium
• Código fuente de Chromium - método de descarga predeterminado que bloquea el archivo .lnk

🤝 Muestra tu apoyo

Da una ⭐️ si te gustó el contenido

✔️ Descargo de responsabilidad

Este proyecto solo puede utilizarse con fines educativos. Usar este software contra sistemas objetivo sin permiso previo es ilegal, y cualquier daño derivado del mal uso de este software no será responsabilidad del autor.