abraxas/element-vector-drive-letterElement Desktop v1.12.29 - Élevé - Local - Fichier - vecteur : le protocole lit les fichiers Windows en dehors de la prison asar
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · element-vector-drive-letter
Write-up : https://abraxaslabs.tech/research/element-vector-drive-letter
Element Desktop v1.12.29 - Element Creations Ltd
Classe : Lecture de fichier Portée : Locale
apps/desktop/src/electron-main.ts enregistre vector: comme protocole de fichier privilégié. La prison se limite à relTarget.startsWith("..") après path.normalize(path.join(...pathname.split("/").slice(2))). Sous Windows, une jointure de C:, Windows, win.ini donne déjà C:\Windows\win.ini. Les chemins absolus ne commencent pas par .., donc la vérification les laisse passer. La note d'Electron sur les protocoles personnalisés rejette également path.isAbsolute. Le path.join POSIX ne traite pas C: comme absolu, donc Linux et macOS ne sont pas concernés par ce reliquat. will-navigate laisse passer vector:.
Un XSS dans le renderer, les DevTools ou un autre processus local peut exécuter fetch("vector://vector/webapp/C:/Windows/win.ini") et lire les fichiers que le processus Element peut ouvrir.
| ID | pas encore de CVE |
| CWE | CWE-22 / CWE-73 |
| CVSS | Élevé : 8.3 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N |
| Produit | element-web Desktop (apps/desktop) |
| Affecté | v1.12.29 (2d90d6b7b601ecb9ccdf81239a43b4396b4b0c9e). Windows uniquement. |
| Auth | renderer local (DevTools / XSS) |
| Licence | GNU Affero GPL v3.0 |
| Lab | 127.0.0.1 uniquement |
XSS dans le renderer, DevTools ou un autre processus local capable d'atteindre vector:. Element Desktop natif sous Windows n'a pas été exécuté. Le gadget copie le parseur d'URL du pin et utilise path.win32 de Node.
| Privilège | Méthode / sink | Recon / intégrité / disponibilité | Prouvé en lab ou déduit |
|---|---|---|---|
| Lire un fichier que le processus Element peut ouvrir | fetch("vector://vector/webapp/C:/Windows/win.ini"). La prison se limite à relTarget.startsWith(".."). La jointure avec la lettre de lecteur est absolue, donc la vérification passe. path.win32.resolve(asar, relTarget) donne C:\Windows\win.ini | Recon | Prouvé en lab sur le gadget du parseur d'URL. Le corps est ELEMENT-VECTOR-DRIVE-LETTER-WITNESS. Desktop natif non exécuté |
Même lecture de electron-config, des profils, des fichiers d'autres utilisateurs sur la même ACL | Même fetch vector://vector/webapp/C:/... | Recon | Déduit. Le lab a planté win.ini, pas de vrais secrets |
| ATO Matrix si le frame principal charge du HTML attaquant déjà présent sur le disque | will-navigate laisse passer vector:. Du HTML hostile à vector://vector obtient le preload / window.electron (tokens, Seshat, clearStorage) | Intégrité | Déduit de webcontents-handler.ts et du preload. Le lab n'a pas navigué de BrowserWindow |
Traversée ../ de l'arborescence asar | vector://vector/webapp/../ | n/a | Fermé ici. L'URL WHATWG la réduit ; le handler renvoie FILE_NOT_FOUND (-6) |
| Fetch par lettre de lecteur POSIX / macOS / Linux | path.posix.join laisse C:/Windows/win.ini sous l'asar | n/a | Fermé ici. Gadget posix 404, pas de témoin |
| RCE OS / LPE | nodeIntegration: false, app.enableSandbox() | n/a | Fermé. Pas ce reliquat |
Restes d'épinglage identiques : fragment guest wipe, Univention ICS javascript: href.
J'ai épinglé element-hq/element-web v1.12.29 après la release GitHub du 22 septembre 2026. Le XSS de la timeline, le XSS de l'export HTML (GHSA-wqmv), le HTML de la page d'accueil (GHSA-wrcp), le jeton média des widgets (GHSA-3jm3) et les clés Element Call (GHSA-69q3) sont corrigés sur ce tag. Le protocole personnalisé de Desktop ne vérifie toujours que startsWith("..").
new URL("vector://vector/webapp/C:/Windows/win.ini") conserve C: comme segment de chemin. path.win32.join("C:", "Windows", "win.ini") donne C:\Windows\win.ini. Node path.win32.join(asar, abs) concatène ; path.win32.resolve abandonne la racine asar.
Fausses pistes déjà consignées : traiter ../ comme le reste (WHATWG le réduit, le handler renvoie 404) ; qualifier le C: POSIX du même bug (le join posix reste sous l'asar) ; gonfler la lecture de fichier en RCE système (le sandbox et nodeIntegration: false restent actifs). Un reverse shell. Du théâtre.
Gadget du parseur d'URL. Node path.win32 contre path.posix. Aucun processus Element Desktop sous Windows. Un /lab/oracle/win.ini planté tient lieu de C:\Windows\win.ini. /lab/asar/index.html est la prison asar.
python3 element-vector-drive-letter-Abraxas-Labs.py
ou
cd lab
./run.sh
Ciblez uniquement http://127.0.0.1:19610. Composez le projet element-vector-drive-letter. La stack est démontée après l'exécution.
SUCCESS element-vector-drive-letter how=gadget win32-drive-letter=200 posix-drive-letter=404 control-dotdot=404 patched-isabs=404 ELEMENT-VECTOR-DRIVE-LETTER-WITNESS
Après la normalisation, rejeter path.isAbsolute(relTarget) et exiger que path.resolve(baseDir, relTarget) reste sous path.resolve(baseDir) (path.relative, refuser ..).
electron-main.ts (registerFileProtocol)webcontents-handler.ts (will-navigate)GNU Affero GPL v3.0. Voir LICENSE. Laboratoire en boucle locale uniquement. Aucune garantie.